Admin Menu Post List <= 2.0.7 - Authenticated (Administrator+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Admin Menu Post List, que afecta a versiones anteriores a la 2.0.7. Esta vulnerabilidad permite a un atacante autenticado inyectar scripts maliciosos en el contexto de la aplicación.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja ciertos datos introducidos por los usuarios, permitiendo que un atacante con privilegios de administrador inyecte código JavaScript que se ejecutará en el navegador de otros usuarios. Esto se clasifica como un XSS almacenado, ya que el script malicioso se guarda en la base de datos y se ejecuta posteriormente.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de la sesión de otros administradores o usuarios, lo que podría resultar en el robo de credenciales, manipulación de datos o la toma de control de la instalación de WordPress.

Vector de explotación

La explotación de esta vulnerabilidad generalmente requiere que el atacante tenga acceso como administrador. Una vez autenticado, puede inyectar código malicioso a través de formularios o campos de entrada del plugin, el cual se ejecutará cuando otros usuarios accedan a las páginas afectadas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Admin Menu Post List a la versión 2.0.7 o superior. Además, se debe realizar una revisión de los permisos de usuario y aplicar medidas de seguridad adicionales, como la validación de entradas y el uso de Content Security Policy (CSP).

Señales de detección

Señales que pueden indicar un intento de explotación incluyen la aparición de scripts inusuales en las respuestas de la aplicación, así como registros de actividad sospechosa por parte de usuarios con privilegios de administrador.

Alcance afectado

Esta vulnerabilidad afecta a todas las versiones del plugin Admin Menu Post List anteriores a la 2.0.7, publicada el 9 de abril de 2025.