TableGen – Data Table Generator <= 1.3.1 - Authenticated (Admin+) Stored Cross-Site Scripting en Table Creator (Cross-Site Scripting (XSS))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin TableGen – Data Table Generator, que afecta a versiones anteriores a la 1.3.1. Esta vulnerabilidad permite a usuarios autenticados con privilegios de administrador ejecutar scripts maliciosos.

Contexto técnico

La vulnerabilidad se origina en la falta de validación y sanitización adecuada de los datos introducidos por los usuarios en el plugin. Esto permite que un atacante con acceso administrativo inyecte código JavaScript malicioso en las tablas generadas, que se ejecutará en el navegador de otros usuarios que visualicen dicha tabla.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de la información en el sitio, permitiendo a un atacante robar cookies de sesión, redirigir a usuarios a sitios maliciosos o realizar acciones no autorizadas en nombre de otros usuarios. Esto puede afectar la confianza de los usuarios y la reputación del negocio.

Vector de explotación

Generalmente, un atacante autenticado puede aprovechar esta vulnerabilidad al crear o modificar tablas dentro del plugin, insertando scripts maliciosos que se ejecutarán cuando otros administradores o usuarios visualicen las tablas afectadas.

Mitigación recomendada

Actualizar el plugin TableGen – Data Table Generator a la versión 1.3.1 o superior. Además, se recomienda revisar las configuraciones de seguridad del sitio y aplicar medidas de hardening, como la sanitización de entradas y la implementación de políticas de contenido seguro (CSP).

Señales de detección

Señales de posible explotación incluyen la aparición de scripts inusuales en las tablas generadas o comportamientos anómalos en los navegadores de los usuarios que interactúan con el plugin.

Alcance afectado

Las versiones del plugin TableGen – Data Table Generator anteriores a la 1.3.1 están afectadas. Es crucial que los administradores de WordPress verifiquen la versión instalada y realicen las actualizaciones necesarias.