Mihdan: Elementor Yandex Maps <= 1.6.11 - Authenticated (Contributor+) Stored Cross-Site Scripting via Marker Pins

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Mihdan: Elementor Yandex Maps, que afecta a versiones hasta la 1.6.11. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos a través de los marcadores de mapas.

Contexto técnico

El fallo se presenta en la forma en que el plugin maneja la entrada de datos de los marcadores, permitiendo que se almacenen scripts que posteriormente se ejecutan en el navegador de otros usuarios. Esto se considera una vulnerabilidad de XSS almacenado, que puede ser utilizada para robar información sensible o realizar acciones no autorizadas en nombre de otros usuarios.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante autenticado manipular el contenido del sitio, afectando la confianza de los usuarios y la integridad de la información. Además, puede ser utilizado como un vector para ataques más amplios dentro de la infraestructura del sitio.

Vector de explotación

La explotación se lleva a cabo mediante la creación de un marcador que contenga código JavaScript malicioso, el cual se ejecuta cuando otros usuarios acceden al mapa. Esto requiere que el atacante tenga acceso al panel de administración del sitio con un rol de contribuidor o superior.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.7.0 o superior. Además, es aconsejable revisar los permisos de usuario y aplicar medidas de seguridad adicionales, como la validación de entradas y el uso de herramientas de seguridad para detectar scripts maliciosos.

Señales de detección

Las señales que pueden indicar un riesgo o explotación incluyen la aparición de comportamientos inusuales en el sitio, como la inyección de contenido no autorizado en los mapas, así como la monitorización de registros de actividad de usuarios para detectar accesos no habituales.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.7.0. Esto incluye versiones desde la 1.0.0 hasta la 1.6.11 del plugin Mihdan: Elementor Yandex Maps.