Mini Course Generator | Embed mini-courses and interactive content <= 1.0.5 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Mini Course Generator, que afecta a las versiones hasta la 1.0.5. Este fallo permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin gestiona la entrada de datos, permitiendo que se almacenen scripts no sanitizados en la base de datos. Esto puede ser aprovechado mediante la visualización de contenido afectado, lo que facilita la ejecución de código JavaScript no deseado en el navegador de otros usuarios.

Impacto potencial

El impacto potencial de esta vulnerabilidad incluye la posibilidad de robo de sesiones, redirección a sitios maliciosos y la ejecución de acciones en nombre de otros usuarios, lo que podría comprometer la integridad de la información y la confianza en la plataforma.

Vector de explotación

Normalmente, esta vulnerabilidad se explota mediante la inyección de scripts a través de formularios o campos de entrada de datos, que luego son almacenados y presentados sin la debida validación o sanitización.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Mini Course Generator a la versión 1.0.6 o superior. Además, se debe revisar el contenido almacenado para eliminar cualquier script potencialmente malicioso y aplicar políticas de validación estrictas en la entrada de datos.

Señales de detección

Las señales de posible explotación incluyen la aparición de comportamientos inusuales en la interfaz de usuario, como redirecciones inesperadas o la ejecución de scripts no autorizados en el navegador.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.0.6 del plugin Mini Course Generator.