Accessibly <= 3.0.3 - Missing Authorization to Unauthenticated Stored Cross-Site Scripting via Widget Source Injection via REST API

Resumen ejecutivo

El plugin Accessibly hasta la versión 3.0.3 presenta una vulnerabilidad crítica de tipo XSS que permite la inyección de scripts maliciosos a través de la REST API. Esta falta de autorización puede comprometer la seguridad del sitio y afectar la integridad de los datos.

Contexto técnico

La vulnerabilidad se origina en la falta de controles de autorización en el widget del plugin Accessibly, permitiendo que usuarios no autenticados inyecten código JavaScript malicioso. Esto se puede realizar mediante solicitudes a la REST API del plugin, lo que expone la superficie de ataque a cualquier visitante del sitio.

Impacto potencial

Si se explota, esta vulnerabilidad puede permitir a un atacante ejecutar scripts en el navegador de un usuario, lo que podría resultar en el robo de información sensible o en la manipulación del contenido del sitio. Esto puede dañar la reputación del negocio y generar pérdida de confianza entre los usuarios.

Vector de explotación

Los atacantes pueden realizar peticiones a la REST API del plugin sin necesidad de autenticación, inyectando scripts maliciosos que se ejecutan en el contexto del navegador del usuario.

Mitigación recomendada

Actualizar el plugin Accessibly a la versión 3.0.3 o superior para corregir la vulnerabilidad. Revisar y restringir el acceso a la REST API del plugin para usuarios no autenticados. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web (WAF), para mitigar riesgos futuros.

Señales de detección

Monitorizar los logs de acceso para detectar peticiones inusuales a la REST API del plugin, así como cualquier comportamiento extraño en el frontend que pueda indicar la ejecución de scripts no autorizados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.0.3 del plugin Accessibly. No se han confirmado otros escenarios de explotación fuera de este contexto.