Investi <= 1.0.26 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'maximum-num-years' Shortcode Attribute

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Investi, afectando a versiones hasta la 1.0.26. Esta falla puede permitir a usuarios autenticados de nivel Contributor o superior inyectar scripts maliciosos, comprometiendo la seguridad del sitio.

Contexto técnico

La vulnerabilidad se encuentra en el uso del atributo 'maximum-num-years' en un shortcode del plugin Investi. La exposición se produce cuando un usuario autenticado manipula este atributo, lo que permite la inyección de código JavaScript en el contenido generado por el plugin.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de scripts maliciosos en el navegador de otros usuarios, lo que podría llevar al robo de información sensible o a la manipulación del contenido del sitio. Esto podría afectar la confianza del usuario y la integridad del sitio web.

Vector de explotación

La explotación se realiza a través de un usuario autenticado que modifica el shortcode del plugin para incluir scripts maliciosos, afectando a otros usuarios que visualizan el contenido generado.

Mitigación recomendada

Actualizar el plugin Investi a la versión 1.0.27 o superior para corregir la vulnerabilidad. Revisar y limpiar cualquier contenido afectado que pueda haber sido manipulado antes de la actualización. Implementar controles de seguridad adicionales, como la validación de entradas y la sanitización de salidas en el uso de shortcodes.

Señales de detección

Señales de alerta incluyen la presencia de scripts no autorizados en el contenido generado por el plugin y cambios inusuales en los atributos del shortcode 'maximum-num-years' en los logs de actividad del sitio.

Alcance afectado

Las versiones del plugin Investi hasta la 1.0.26 están afectadas. No se han reportado casos de explotación en versiones posteriores a la 1.0.27.