FlatPM – Ad Manager, AdSense and Custom Code <= 3.2.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Custom Post Meta

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin FlatPM para WordPress, afectando a las versiones hasta la 3.2.2. Este fallo permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través de metadatos de publicaciones personalizadas.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja los metadatos de publicaciones personalizadas. Un atacante puede aprovechar esta debilidad para insertar código JavaScript, que se ejecutará en el navegador de otros usuarios que visualicen la publicación afectada, facilitando así el robo de información o la manipulación de sesiones.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de otros usuarios, lo que podría llevar al robo de credenciales o a la realización de acciones no autorizadas en la cuenta de los usuarios afectados. Esto puede resultar en pérdida de confianza por parte de los usuarios y daño a la reputación del sitio.

Vector de explotación

La explotación de esta vulnerabilidad generalmente ocurre cuando un atacante autenticado (con rol de colaborador o superior) inserta un script malicioso en los metadatos de una publicación personalizada, que luego es visualizada por otros usuarios sin las debidas medidas de seguridad.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin FlatPM a la versión 3.2.3 o superior. Además, se sugiere implementar medidas de validación y sanitización de datos en los campos de entrada, así como utilizar políticas de seguridad de contenido (CSP) para limitar la ejecución de scripts no autorizados.

Señales de detección

Se pueden detectar intentos de explotación mediante la monitorización de registros de actividad que muestren inserciones inusuales en metadatos de publicaciones, así como alertas sobre scripts no autorizados que se cargan en el sitio.

Alcance afectado

Las versiones del plugin FlatPM hasta la 3.2.2 son las que presentan esta vulnerabilidad. Se debe verificar la instalación de este plugin en todas las instancias de WordPress para evaluar el riesgo.