SiteSEO – SEO Simplified <= 1.2.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via Broken Regex Expression

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin SiteSEO, que afecta a versiones hasta la 1.2.7. Este fallo permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos en el sitio web.

Contexto técnico

La vulnerabilidad se origina en una expresión regular defectuosa que no valida correctamente las entradas del usuario. Esto permite que se almacenen scripts maliciosos en el servidor, los cuales se ejecutan cuando otros usuarios acceden a las páginas afectadas.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante inyectar código JavaScript que podría robar información sensible, redirigir a los usuarios a sitios maliciosos o realizar acciones no autorizadas en nombre de otros usuarios.

Vector de explotación

Generalmente, la explotación de esta vulnerabilidad se realiza mediante la creación de contenido malicioso por parte de un usuario autenticado, que luego es almacenado y ejecutado cuando otros usuarios visitan las páginas afectadas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin SiteSEO a la versión 1.2.8 o superior. Además, es aconsejable revisar las entradas almacenadas en el sitio para detectar posibles inyecciones de código malicioso.

Señales de detección

Las señales de posible explotación incluyen la aparición de comportamientos inusuales en el sitio web, como redirecciones inesperadas o la presencia de scripts no autorizados en el contenido de las páginas.

Alcance afectado

Esta vulnerabilidad afecta a todas las instalaciones del plugin SiteSEO en versiones hasta la 1.2.7. Se recomienda a los administradores de sitios que utilicen este plugin que verifiquen su versión y apliquen las actualizaciones necesarias.