Table Field Add-on for ACF and SCF <= 1.3.30 - Authenticated (Contributor+) Stored Cross-Site Scripting via Table Cell Content

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el complemento 'Table Field Add-on for ACF and SCF' en versiones hasta la 1.3.30. Esta vulnerabilidad permite a usuarios autenticados con permisos de contribuidor o superiores inyectar scripts maliciosos a través del contenido de las celdas de la tabla.

Contexto técnico

El fallo se origina en la forma en que el complemento gestiona el contenido de las celdas de la tabla, permitiendo que se inserten scripts sin la debida sanitización. Esto crea un vector de ataque que puede ser aprovechado por usuarios con permisos adecuados para ejecutar código JavaScript en el contexto de otros usuarios.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de los usuarios finales y permitir la ejecución de ataques de phishing o la sustracción de información sensible. Además, puede afectar la reputación del negocio al poner en riesgo la confianza de los usuarios en la plataforma.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la creación o modificación de contenido en las celdas de la tabla, donde el atacante inserta código JavaScript malicioso que se ejecuta cuando otros usuarios visualizan la tabla afectada.

Mitigación recomendada

Actualizar el complemento a la versión 1.3.31 o superior, donde se ha corregido esta vulnerabilidad. Además, se recomienda revisar los permisos de los usuarios y aplicar políticas de sanitización de entrada más estrictas.

Señales de detección

Se pueden observar comportamientos inusuales en las sesiones de usuario, como redirecciones inesperadas o la aparición de contenido no autorizado en las tablas. También se deben monitorizar los logs de acceso para detectar intentos de inyección de scripts.

Alcance afectado

Las versiones del complemento 'Table Field Add-on for ACF and SCF' hasta la 1.3.30 son vulnerables. Las instalaciones que utilizan estas versiones deben ser consideradas en riesgo.