WP Circliful <= 1.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'id' Shortcode Attribute

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin WP Circliful versiones hasta 1.2, que permite a usuarios autenticados con rol de colaborador o superior ejecutar scripts maliciosos. Esta falla puede comprometer la seguridad del sitio y la integridad de los datos de los usuarios.

Contexto técnico

La vulnerabilidad se presenta a través del atributo 'id' en el shortcode del plugin, permitiendo la inyección de código JavaScript. Esto se puede explotar mediante la manipulación de entradas en el panel de administración por parte de usuarios autenticados.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de scripts en el navegador de otros usuarios, lo que podría resultar en el robo de información sensible o la alteración de la experiencia del usuario en el sitio. La severidad se clasifica como media (CVSS 6.4), requiriendo atención inmediata.

Vector de explotación

La explotación se realiza mediante la modificación del shortcode en el contenido que se muestra a otros usuarios, aprovechando la falta de validación adecuada de las entradas.

Mitigación recomendada

Actualizar el plugin WP Circliful a la versión 1.2 o superior. Revisar y limpiar cualquier contenido que utilice el shortcode afectado. Implementar políticas de seguridad adicionales, como Content Security Policy (CSP).

Señales de detección

Revisar los logs de acceso para detectar patrones inusuales en las solicitudes que manipulan el shortcode 'id'. También se debe monitorizar la actividad de usuarios con rol de colaborador o superior.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.2 del plugin WP Circliful. No se han confirmado otros escenarios de explotación en versiones posteriores.