eID Easy <= 4.9.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via id Parameter

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin eID Easy, que afecta a versiones hasta la 4.9.3. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuidor o superior ejecutar scripts maliciosos a través del parámetro 'id'.

Contexto técnico

La vulnerabilidad se presenta como un XSS almacenado, lo que significa que los scripts maliciosos se inyectan y almacenan en el servidor, afectando a otros usuarios que acceden a la información comprometida. La superficie de ataque se centra en el uso del parámetro 'id' en el plugin eID Easy.

Impacto potencial

El impacto potencial de esta vulnerabilidad incluye la posibilidad de que un atacante robe información sensible de los usuarios o realice acciones no autorizadas en nombre de otros. Esto podría comprometer la integridad del sitio y afectar la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad generalmente involucra a un atacante que, tras autenticarse como contribuidor o superior, envía un payload malicioso a través del parámetro 'id', lo que permite que el script se ejecute en el navegador de otros usuarios.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin eID Easy a la versión 4.9.4 o superior. Además, se sugiere implementar medidas de validación y sanitización de entradas para prevenir inyecciones de scripts.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en el sitio, como redirecciones no autorizadas o la ejecución de scripts no deseados en la interfaz de usuario, así como registros de actividad sospechosa por parte de usuarios autenticados.

Alcance afectado

Las versiones del plugin eID Easy hasta la 4.9.3 están afectadas por esta vulnerabilidad. Es crucial que todos los sitios que utilicen este plugin realicen la actualización correspondiente.