Simple Tableau Viz <= 2.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Simple Tableau Viz, que afecta a las versiones anteriores a la 2.0. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior ejecutar código JavaScript malicioso a través de shortcodes.

Contexto técnico

El fallo se origina en la forma en que el plugin procesa los shortcodes, permitiendo la inyección de scripts maliciosos en el contenido que se muestra a otros usuarios. La superficie de ataque se amplía a cualquier usuario autenticado que tenga permisos para crear o editar contenido que incluya shortcodes del plugin.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad del sitio web, permitiendo a un atacante ejecutar scripts en el navegador de otros usuarios. Esto podría resultar en el robo de información sensible, redirección a sitios maliciosos o manipulación del contenido del sitio, afectando así la confianza de los usuarios y la reputación del negocio.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad mediante la creación de contenido que incluye shortcodes maliciosos, que son luego visualizados por otros usuarios, lo que resulta en la ejecución del script malicioso en sus navegadores.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Simple Tableau Viz a la versión 2.0 o superior. Además, es aconsejable revisar los permisos de los usuarios y limitar el acceso a funciones críticas del sitio. Implementar medidas de seguridad adicionales como un firewall de aplicaciones web también puede ayudar a protegerse contra este tipo de ataques.

Señales de detección

Se deben vigilar los registros de actividad del sitio en busca de cambios inusuales en el contenido que incluya shortcodes, así como la ejecución de scripts no autorizados en el frontend del sitio.

Alcance afectado

Las versiones del plugin Simple Tableau Viz anteriores a la 2.0 son las afectadas. Los sitios que utilizan este plugin en cualquier versión anterior deben ser considerados en riesgo.