Popup Maker <= 1.20.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via popupID Parameter

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS almacenado en el plugin Popup Maker, afectando a versiones hasta la 1.20.4. Esta falla permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos.

Contexto técnico

La vulnerabilidad se origina en el parámetro popupID, que no valida adecuadamente las entradas, permitiendo la ejecución de código JavaScript en el contexto del navegador de otros usuarios. Esto se clasifica como una vulnerabilidad de Cross-Site Scripting (XSS) almacenado.

Impacto potencial

El impacto potencial incluye la posibilidad de robo de sesiones, redirecciones a sitios maliciosos y compromisos de la integridad de los datos de los usuarios. Esto puede afectar la confianza del usuario y la reputación del negocio.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad mediante la creación de un popup que contenga scripts maliciosos, los cuales se ejecutarán cuando otros usuarios accedan al contenido afectado.

Mitigación recomendada

Actualizar el plugin Popup Maker a la versión 1.20.5 o superior. Además, se recomienda implementar medidas de validación de entradas y sanitización de datos en el desarrollo de plugins personalizados.

Señales de detección

Señales de explotación incluyen actividad inusual en los logs de acceso, reportes de comportamientos extraños por parte de los usuarios y la aparición de scripts no autorizados en el contenido de los popups.

Alcance afectado

Las versiones del plugin Popup Maker hasta la 1.20.4 son vulnerables. Se recomienda revisar todas las instalaciones que utilicen este plugin.