Custom Query Blocks <= 5.5.0 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Custom Query Blocks, afectando a versiones hasta 5.5.0. Esta falla permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos, comprometiendo la integridad del sitio.

Contexto técnico

La vulnerabilidad se presenta en el manejo de entradas en el plugin Custom Query Blocks, permitiendo que usuarios autenticados inserten código JavaScript malicioso. Esto se traduce en una superficie de ataque que puede ser explotada a través de formularios o interfaces donde se permita la entrada de datos por parte del usuario.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de scripts en el contexto de otros usuarios, lo que podría llevar al robo de información sensible o a la manipulación de contenido. La severidad se clasifica como media, con un CVSS de 6.4, lo que indica un riesgo considerable para la seguridad del sitio.

Vector de explotación

La explotación se realiza mediante la inyección de scripts en campos de entrada accesibles a usuarios autenticados, lo que permite a un atacante ejecutar código en el navegador de otros usuarios.

Mitigación recomendada

Actualizar el plugin Custom Query Blocks a la versión 5.6.0 o superior para cerrar la vulnerabilidad. Revisar y limpiar las entradas de datos en el sitio para mitigar posibles inyecciones existentes. Implementar políticas de seguridad adicionales, como Content Security Policy (CSP), para reducir el riesgo de ejecución de scripts no autorizados.

Señales de detección

Señales de riesgo incluyen la presencia de scripts inusuales en los logs de actividad de usuarios, así como cambios inesperados en el contenido del sitio que no fueron autorizados.

Alcance afectado

Las versiones del plugin Custom Query Blocks afectadas son aquellas anteriores a la 5.6.0. No se han confirmado casos en versiones posteriores ni en otros componentes relacionados.