Colibri Page Builder <= 1.0.334 - Authenticated (Contributor+) Stored Cross-Site Scripting via colibri_newsletter Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Colibri Page Builder, que afecta a versiones hasta la 1.0.334. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos.

Contexto técnico

El fallo se encuentra en el shortcode 'colibri_newsletter', que no valida adecuadamente la entrada de datos, permitiendo la inyección de código JavaScript. Esto expone a los usuarios a ataques XSS, donde un atacante puede ejecutar scripts en el contexto del navegador de la víctima.

Impacto potencial

El impacto potencial incluye el robo de información sensible, como cookies de sesión y credenciales, así como la posibilidad de redirigir a los usuarios a sitios maliciosos. Esto puede dañar la reputación del sitio y afectar la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad se realiza mediante la creación de un contenido malicioso que se inserta a través del shortcode 'colibri_newsletter', el cual es procesado sin la debida sanitización, permitiendo la ejecución de scripts no autorizados.

Mitigación recomendada

Actualizar el plugin Colibri Page Builder a la versión 1.0.335 o superior. Además, se recomienda revisar y sanitizar todas las entradas de datos en el uso de shortcodes y aplicar medidas de seguridad adicionales como Content Security Policy (CSP).

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en el sitio web, como redirecciones inesperadas o la ejecución de scripts no autorizados. También se deben monitorizar los logs para detectar accesos no habituales por parte de usuarios autenticados.

Alcance afectado

Las versiones del plugin Colibri Page Builder hasta la 1.0.334 están afectadas. Se recomienda verificar las instalaciones en uso para asegurar que se está utilizando una versión segura.