Structured Content (JSON-LD) #wpsc <= 1.6.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via sc_fs_local_business Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Structured Content (JSON-LD) en versiones hasta la 1.6.3. Esta falla permite a usuarios autenticados con rol de contribuyente o superior ejecutar scripts maliciosos en el contexto de otros usuarios.

Contexto técnico

La vulnerabilidad se manifiesta a través del shortcode `sc_fs_local_business`, que no valida adecuadamente los datos de entrada. Esto permite la inyección de código JavaScript, afectando la integridad del contenido presentado a los usuarios.

Impacto potencial

El impacto puede ser significativo, ya que permite a un atacante ejecutar scripts en el navegador de otros usuarios, lo que podría llevar al robo de información sensible o a la manipulación de la experiencia del usuario en el sitio web.

Vector de explotación

Generalmente, la explotación se realiza mediante la creación de un contenido malicioso que utiliza el shortcode vulnerable, que luego es visualizado por otros usuarios en el sitio, desencadenando el código inyectado.

Mitigación recomendada

Actualizar el plugin Structured Content (JSON-LD) a la versión 1.6.4 o superior para mitigar la vulnerabilidad. Además, se recomienda revisar los permisos de usuario y aplicar políticas de seguridad más estrictas para el contenido generado por los usuarios.

Señales de detección

Se pueden detectar intentos de explotación observando comportamientos inusuales en la ejecución de scripts en el navegador, así como entradas sospechosas en los logs de acceso y error del servidor.

Alcance afectado

Las versiones del plugin Structured Content (JSON-LD) hasta la 1.6.3 están afectadas. Las instalaciones que no han actualizado a la versión 1.6.4 corren el riesgo de ser vulnerables.