Divi Carousel Lite <= 2.0.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via Image Carousel and Logo Carousel Widgets

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Divi Carousel Lite, que afecta a las versiones hasta la 2.0.4. Esta falla permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través de los widgets de carrusel de imágenes y logo.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de los datos introducidos por el usuario en los widgets del plugin. Esto permite que un atacante que tenga acceso a un usuario autenticado (contribuidor o superior) pueda insertar código JavaScript malicioso que se ejecutará en el navegador de otros usuarios que visualicen la página afectada.

Impacto potencial

El impacto de esta vulnerabilidad puede ser considerable, ya que permite a un atacante robar información sensible de los usuarios o realizar acciones no autorizadas en nombre de ellos. Esto puede comprometer la integridad del sitio y la confianza de los usuarios, afectando potencialmente la reputación y el rendimiento del negocio.

Vector de explotación

La explotación de esta vulnerabilidad suele llevarse a cabo mediante la creación de contenido malicioso que se inserta en los widgets del plugin. Un atacante necesitaría acceso a una cuenta de usuario con permisos suficientes para modificar el contenido del sitio.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Divi Carousel Lite a la versión 2.1.0 o superior. Además, se debe revisar y restringir los permisos de los usuarios que tienen acceso a la edición de contenido, así como implementar medidas adicionales de seguridad como la validación de entradas y el uso de herramientas de detección de XSS.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en el sitio, como redirecciones inesperadas o la inyección de scripts en el contenido. También se deben monitorizar los logs de acceso para identificar acciones sospechosas por parte de usuarios autenticados.

Alcance afectado

Las versiones afectadas por esta vulnerabilidad son todas las anteriores a la 2.1.0 del plugin Divi Carousel Lite, lanzado el 24 de enero de 2025.