Dynamic Conditions <= 1.7.4 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Dynamic Conditions, afectando a versiones anteriores a la 1.7.5. Este fallo permite a usuarios autenticados con rol de contribuyente o superior inyectar scripts maliciosos.

Contexto técnico

La vulnerabilidad se encuentra en la gestión de entradas del plugin, donde no se realiza la validación adecuada de los datos introducidos por los usuarios. Esto permite que un atacante con acceso autenticado pueda almacenar scripts maliciosos que se ejecutan en el navegador de otros usuarios.

Impacto potencial

El impacto potencial incluye la posibilidad de robar información sensible, como cookies de sesión, o redirigir a los usuarios a sitios maliciosos. Esto puede comprometer la integridad de la web y la confianza de los usuarios, afectando negativamente a la reputación del negocio.

Vector de explotación

Suele ser explotada por usuarios autenticados que, mediante la inserción de código JavaScript en campos vulnerables, logran que dicho código se ejecute en el contexto del navegador de otros usuarios que visitan la página afectada.

Mitigación recomendada

Actualizar el plugin Dynamic Conditions a la versión 1.7.5 o superior. Además, se recomienda revisar y validar adecuadamente todas las entradas de usuario y aplicar medidas de seguridad adicionales como Content Security Policy (CSP).

Señales de detección

Señales de riesgo incluyen la aparición de scripts no autorizados en las páginas del sitio, así como comportamientos inusuales en los navegadores de los usuarios, como redirecciones inesperadas o mensajes de alerta.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.7.5 del plugin Dynamic Conditions. Se recomienda verificar las instalaciones para asegurar que se está utilizando la versión segura.