Passster – Password Protect Pages and Content <= 4.2.24 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Passster, que afecta a las versiones hasta la 4.2.24. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través de shortcodes.

Contexto técnico

El fallo se origina en el manejo inadecuado de los datos introducidos por los usuarios en el plugin Passster. Al permitir la inclusión de shortcodes sin la debida sanitización, se abre la puerta a la ejecución de código JavaScript no autorizado en el contexto del navegador de otros usuarios.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de los usuarios que visitan las páginas afectadas, permitiendo a un atacante ejecutar scripts que roben información sensible o realicen acciones no autorizadas en nombre del usuario. Esto podría tener repercusiones negativas en la reputación del negocio y en la confianza de los usuarios.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad al crear contenido que incluya shortcodes maliciosos y luego persuadir a otros usuarios autenticados para que visualicen dicho contenido, ejecutando así el código inyectado en su navegador.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Passster a la versión 4.2.25 o superior. Además, se debe revisar el uso de shortcodes y aplicar medidas de sanitización adecuadas para cualquier dato introducido por el usuario.

Señales de detección

Se pueden detectar intentos de explotación mediante la monitorización de logs de acceso en busca de patrones inusuales relacionados con la ejecución de scripts en páginas protegidas por el plugin. También se deben vigilar los cambios no autorizados en el contenido de las páginas.

Alcance afectado

Las versiones del plugin Passster hasta la 4.2.24 son vulnerables. Se recomienda a los administradores de sitios que utilicen estas versiones que realicen la actualización de inmediato.