Leartes TRY Exchange Rates <= 2.1 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Leartes TRY Exchange Rates, que afecta a versiones hasta la 2.1. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuidor o superior inyectar código malicioso.

Contexto técnico

La vulnerabilidad se manifiesta a través de un fallo en la validación de entradas, lo que permite que un atacante con acceso autenticado inserte scripts maliciosos que se ejecutan en el navegador de otros usuarios. Esto puede comprometer la integridad de la sesión y la información del usuario.

Impacto potencial

El impacto potencial incluye la posibilidad de robo de datos sensibles, suplantación de identidad y afectación a la reputación del negocio. Dada su severidad media (CVSS 6.4), es crucial abordar esta vulnerabilidad para evitar compromisos de seguridad.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la creación de contenido malicioso que es publicado en el sitio web, el cual es luego visualizado por otros usuarios. Esto requiere que el atacante tenga acceso como contribuidor o superior.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 2.1 o superior. Además, se sugiere implementar medidas de seguridad adicionales como la validación y saneamiento de entradas, así como la revisión de permisos de usuario.

Señales de detección

Señales de riesgo incluyen la aparición de scripts no autorizados en las páginas del sitio, comportamientos inusuales de usuarios autenticados y reportes de actividad sospechosa en el registro de accesos.

Alcance afectado

La vulnerabilidad afecta a todas las instalaciones del plugin Leartes TRY Exchange Rates hasta la versión 2.1. No se especifica versión en la que se introdujo la vulnerabilidad.