ACF Onyx Poll <= 1.1.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via class Parameter

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin ACF Onyx Poll, afectando a versiones hasta la 1.1.9. Esta falla permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos.

Contexto técnico

La vulnerabilidad se origina en el manejo inadecuado del parámetro 'class' en las solicitudes. Esto permite que un atacante autenticado inserte código JavaScript que se ejecuta en el navegador de otros usuarios, afectando la integridad del contenido y la experiencia del usuario.

Impacto potencial

El impacto potencial incluye la posibilidad de robar información sensible de los usuarios, redirigir a los visitantes a sitios maliciosos o realizar acciones no autorizadas en nombre de los usuarios afectados. Esto puede dañar la reputación del sitio y comprometer la confianza de los usuarios.

Vector de explotación

Generalmente, esta vulnerabilidad se explota mediante la creación de un post o comentario que incluye el script malicioso, el cual se ejecuta cuando otros usuarios acceden al contenido afectado.

Mitigación recomendada

Se recomienda actualizar el plugin ACF Onyx Poll a la versión 1.2.0 o superior. Además, se sugiere implementar medidas de validación y sanitización de entradas para prevenir la inyección de scripts en el futuro.

Señales de detección

Señales de explotación incluyen la presencia de scripts inusuales en el contenido generado por usuarios autenticados, así como un aumento en las solicitudes de acceso a parámetros sospechosos en las URL.

Alcance afectado

Las versiones del plugin ACF Onyx Poll hasta la 1.1.9 están afectadas. Se recomienda a los administradores de WordPress verificar la versión instalada y aplicar las actualizaciones necesarias.