Integrate Dynamics 365 CRM <= 1.1.1 - Authenticated (Administrator+) Stored Cross-Site Scripting via Field Mapping Configuration

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Integrate Dynamics 365 CRM en versiones hasta la 1.1.1. Esta vulnerabilidad permite a un atacante autenticado inyectar scripts maliciosos a través de la configuración de mapeo de campos.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja los datos de entrada en la configuración de mapeo de campos, permitiendo la inyección de código JavaScript no validado. Esto afecta a cualquier usuario con privilegios de administrador que interactúe con esta funcionalidad.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de la aplicación, permitiendo a un atacante ejecutar scripts en el contexto del navegador de otros usuarios, lo que podría resultar en el robo de información sensible o la manipulación de datos.

Vector de explotación

Generalmente, un atacante autenticado puede aprovechar esta vulnerabilidad al modificar la configuración de mapeo de campos, insertando código JavaScript malicioso que se ejecutará cuando otros administradores accedan a esa configuración.

Mitigación recomendada

Actualizar el plugin Integrate Dynamics 365 CRM a la versión 1.1.2 o superior. Además, se recomienda revisar y validar la configuración de mapeo de campos para asegurar que no se hayan inyectado scripts maliciosos.

Señales de detección

Señales de explotación incluyen cambios inesperados en la configuración del plugin y la aparición de comportamientos extraños en la interfaz de usuario, así como la presencia de scripts no autorizados en las páginas de administración.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Integrate Dynamics 365 CRM hasta la 1.1.1. Las instalaciones que no han sido actualizadas a la versión 1.1.2 están en riesgo.