Page Builder: Pagelayer <= 2.0.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via Button Widget Custom Attributes

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS almacenado en el plugin Pagelayer, que afecta a versiones hasta la 2.0.8. Esta falla permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos, comprometiendo la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se encuentra en el widget de botones del plugin Pagelayer, donde los atributos personalizados pueden ser manipulados para inyectar código JavaScript. Esto se traduce en un vector de ataque que puede ser explotado por usuarios con permisos adecuados, facilitando la ejecución de scripts en el navegador de otros usuarios.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto del navegador de otros usuarios, lo que podría llevar al robo de información sensible o a la manipulación del contenido del sitio. Esto no solo afecta la integridad del sitio, sino que también puede dañar la reputación de la organización.

Vector de explotación

El ataque se lleva a cabo mediante la creación de un botón con atributos personalizados que contienen código JavaScript malicioso, el cual se ejecuta cuando otros usuarios interactúan con el contenido afectado.

Mitigación recomendada

Actualizar el plugin Pagelayer a la versión 2.0.9 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario y limitar el acceso a funciones críticas del plugin solo a usuarios de confianza. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web (WAF), para mitigar riesgos de XSS.

Señales de detección

Monitorear los logs del servidor en busca de patrones inusuales relacionados con la ejecución de scripts en el frontend, así como la revisión de atributos de botones en el contenido generado por usuarios autenticados.

Alcance afectado

Las versiones del plugin Pagelayer hasta la 2.0.8 están afectadas. No se han confirmado casos de explotación en versiones posteriores a la 2.0.9.