Supreme Addons for Beaver Builder <= 1.0.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via auto_qrcodesabb Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Supreme Addons for Beaver Builder' en versiones hasta la 1.0.9. Esta falla permite que usuarios autenticados con rol de contribuidor o superior inyecten scripts maliciosos.

Contexto técnico

La vulnerabilidad se manifiesta a través del shortcode 'auto_qrcodesabb', que no valida adecuadamente las entradas de los usuarios. Esto permite la ejecución de scripts en el navegador de otros usuarios que visualicen el contenido afectado, facilitando ataques XSS persistentes.

Impacto potencial

El impacto puede ser significativo, ya que permite a un atacante robar información sensible de otros usuarios, como cookies de sesión, o realizar acciones en nombre de estos, comprometiendo así la integridad y la seguridad del sitio web.

Vector de explotación

Generalmente, esta vulnerabilidad se explota mediante la inserción de código malicioso en el contenido que se muestra a otros usuarios. Un atacante podría utilizar un rol de contribuidor para inyectar el código a través del shortcode vulnerable.

Mitigación recomendada

Actualizar el plugin 'Supreme Addons for Beaver Builder' a la versión 1.0.9 o superior. Además, se recomienda revisar los permisos de los usuarios y aplicar políticas de validación de entradas más estrictas.

Señales de detección

Señales de riesgo incluyen actividad inusual en los registros de acceso, como cambios no autorizados en el contenido o la aparición de scripts no esperados en las páginas del sitio.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.0.9 del plugin 'Supreme Addons for Beaver Builder'.