Music Press Pro <= 1.4.6 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Music Press Pro, que afecta a las versiones anteriores a la 1.4.6. Esta falla permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja y almacena datos introducidos por los usuarios. Esto permite que un atacante, con el nivel de acceso adecuado, pueda insertar código JavaScript que se ejecutará en el navegador de otros usuarios, comprometiendo así la seguridad de la aplicación.

Impacto potencial

El impacto potencial de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad o propagación de malware, afectando tanto la integridad de los datos como la confianza de los usuarios en la plataforma.

Vector de explotación

Generalmente, esta vulnerabilidad se explota mediante la inyección de código malicioso en campos de entrada que no son adecuadamente sanitizados, lo que se puede realizar a través de formularios o interfaces de usuario del plugin por parte de un contribuidor o usuario con permisos elevados.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Music Press Pro a la versión 1.4.6 o superior. Además, se sugiere revisar y reforzar las políticas de sanitización de entradas y validar los permisos de los usuarios que pueden introducir contenido en la aplicación.

Señales de detección

Señales de riesgo pueden incluir la aparición de comportamientos inusuales en la aplicación, como redirecciones inesperadas, mensajes de error o la ejecución de scripts no autorizados en el navegador de los usuarios.

Alcance afectado

La vulnerabilidad afecta a todas las versiones de Music Press Pro anteriores a la 1.4.6, lo que incluye instalaciones que no han sido actualizadas desde la fecha de publicación del aviso el 3 de febrero de 2025.