ACF: Google Font Selector <= 3.0.1 - Reflected Cross-Site Scripting en ACF Google Font Selector Field (Cross-Site Scripting (XSS))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin ACF: Google Font Selector en versiones hasta 3.0.1. Esta vulnerabilidad permite la inyección de scripts maliciosos, lo que puede comprometer la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se manifiesta a través de la manipulación de parámetros en las solicitudes, lo que permite a un atacante inyectar código JavaScript que se ejecuta en el contexto del navegador de la víctima. Esto se produce debido a la falta de validación adecuada de los datos de entrada.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante robar información sensible, como cookies de sesión o credenciales de usuario, lo que podría resultar en el control total del sitio afectado y una pérdida de confianza por parte de los usuarios.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando enlaces manipulados a los usuarios, que al hacer clic en ellos, ejecutan el script malicioso en su navegador.

Mitigación recomendada

Actualizar el plugin ACF: Google Font Selector a la versión 3.0.1 o superior. Además, se recomienda implementar medidas de seguridad adicionales, como la validación de entradas y el uso de Content Security Policy (CSP).

Señales de detección

Señales de riesgo pueden incluir actividad inusual en los registros de acceso, reportes de usuarios sobre comportamientos extraños en el sitio, o la detección de scripts no autorizados en el código fuente de las páginas.

Alcance afectado

Las versiones del plugin ACF: Google Font Selector anteriores a la 3.0.1 están afectadas por esta vulnerabilidad.