Just Highlight <= 1.0.3 - Authenticated (Administrator+) Stored Cross-Site Scripting via 'Highlight Color' Setting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Just Highlight en versiones hasta la 1.0.3, que afecta a los administradores autenticados. Esta vulnerabilidad permite la inyección de scripts maliciosos a través de la configuración del color de resaltado.

Contexto técnico

La vulnerabilidad se manifiesta cuando un administrador utiliza la opción de configuración de 'Highlight Color', permitiendo que se almacenen scripts maliciosos en el servidor. Esto puede ser aprovechado por un atacante para ejecutar código en el navegador de otros usuarios que accedan a la misma página.

Impacto potencial

El impacto puede ser significativo, ya que un atacante podría robar información sensible, realizar acciones en nombre de otros usuarios o redirigir a los visitantes a sitios maliciosos. Esto puede comprometer la integridad del sitio y la confianza de los usuarios.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la inserción de un script malicioso en los campos de configuración del plugin, que luego se ejecuta en el contexto de otros usuarios que visitan el sitio.

Mitigación recomendada

Actualizar el plugin Just Highlight a la versión 1.0.3 o superior. Además, se recomienda revisar la configuración del plugin y validar cualquier entrada de usuario para mitigar riesgos futuros.

Señales de detección

Se puede detectar actividad sospechosa mediante la monitorización de cambios en la configuración del plugin o la aparición de scripts inusuales en el código fuente de las páginas generadas por el plugin.

Alcance afectado

Todas las instalaciones de Just Highlight en versiones iguales o inferiores a la 1.0.3 están afectadas por esta vulnerabilidad.