SecuPress Free — WordPress Security <= 2.2.5.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via secupress_check_ban_ips_form Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS almacenado en el plugin SecuPress Free, que afecta a las versiones hasta la 2.2.5.3. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior ejecutar scripts maliciosos en el contexto de otros usuarios.

Contexto técnico

La vulnerabilidad se encuentra en el shortcode 'secupress_check_ban_ips_form', que no sanitiza adecuadamente las entradas de los usuarios. Esto permite que un atacante que tenga acceso a una cuenta de colaborador o superior inyecte código JavaScript malicioso que se ejecute en el navegador de otros usuarios al visualizar la página afectada.

Impacto potencial

El impacto potencial de esta vulnerabilidad es medio, dado que permite la ejecución de scripts en el contexto de otros usuarios, lo que podría llevar al robo de información sensible o a la manipulación de sesiones. Esto puede afectar la reputación del sitio y la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad normalmente se lleva a cabo mediante la inyección de un script malicioso en los campos de entrada del shortcode afectado, lo que permite al atacante ejecutar código en el navegador de otros usuarios que visiten la página.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin SecuPress Free a la versión 2.3 o superior. Además, se debe revisar y reforzar la sanitización de las entradas en todos los shortcodes y formularios del sitio.

Señales de detección

Señales de riesgo incluyen la presencia de scripts inusuales en las páginas que utilizan el shortcode afectado, así como reportes de comportamientos extraños por parte de los usuarios, como redirecciones no autorizadas o la aparición de contenido extraño.

Alcance afectado

Las versiones de SecuPress Free hasta la 2.2.5.3 son las afectadas. Es crucial verificar la versión del plugin en todos los sitios que lo utilicen.