Easy Prism Syntax Highlighter <= 1.0.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Shortcode Attributes (Cross-Site Scripting (XSS))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Easy Prism Syntax Highlighter, que afecta a versiones hasta 1.0.2. Esta falla puede ser explotada por usuarios autenticados con rol de colaborador o superior, comprometiendo la seguridad del sitio.

Contexto técnico

La vulnerabilidad se manifiesta a través de los atributos de shortcode del plugin, permitiendo que un atacante inyecte scripts maliciosos. La exposición ocurre cuando los datos no son correctamente sanitizados, permitiendo la ejecución de código en el navegador de otros usuarios.

Impacto potencial

El impacto potencial incluye la posibilidad de robo de sesiones, redirección de usuarios y ejecución de acciones no autorizadas. Esto puede resultar en daños a la reputación del sitio y pérdida de confianza por parte de los usuarios.

Vector de explotación

La explotación se realiza mediante la inyección de código malicioso en los atributos del shortcode, lo que permite que se ejecute en el contexto de otros usuarios autenticados.

Mitigación recomendada

Actualizar el plugin Easy Prism Syntax Highlighter a la versión 1.0.2 o superior. Revisar y sanitizar todos los datos de entrada que se procesan a través de shortcodes. Implementar políticas de control de acceso más estrictas para los usuarios con roles de colaborador y superiores.

Señales de detección

Monitorizar los logs de acceso en busca de patrones inusuales relacionados con la ejecución de scripts o accesos no autorizados a funciones del plugin.

Alcance afectado

El fallo afecta a todas las instalaciones de Easy Prism Syntax Highlighter hasta la versión 1.0.2. No se han confirmado casos en versiones posteriores.