Splide Carousel Block <= 1.7.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'url' Block Attribute (Cross-Site Scripting (XSS)) - version 1.7.2

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Splide Carousel Block hasta la versión 1.7.1. Este fallo permite a usuarios autenticados con rol de 'Contribuidor' o superior inyectar scripts maliciosos, afectando la seguridad del sitio y la experiencia del usuario.

Contexto técnico

El fallo se encuentra en el atributo 'url' de los bloques del plugin, permitiendo la ejecución de scripts no autorizados. La superficie de ataque se limita a usuarios autenticados, lo que requiere que el atacante tenga acceso al panel de administración del sitio.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad del sitio, permitiendo a un atacante ejecutar código arbitrario en el contexto del navegador de otros usuarios. Esto puede resultar en el robo de información sensible o la manipulación del contenido del sitio.

Vector de explotación

Normalmente, el ataque se lleva a cabo mediante la inyección de un script malicioso en el atributo 'url' de un bloque, que se ejecuta cuando otros usuarios visualizan la página afectada.

Mitigación recomendada

Actualizar el plugin Splide Carousel Block a la versión 1.7.2 o superior. Revisar y limpiar cualquier contenido potencialmente malicioso que haya sido inyectado. Implementar políticas de seguridad que limiten las acciones de los usuarios con rol de 'Contribuidor' en el panel de administración.

Señales de detección

Monitorear logs de acceso y errores en busca de patrones inusuales, especialmente solicitudes que incluyan el atributo 'url' en bloques de Splide Carousel. También se deben revisar cambios no autorizados en el contenido de las páginas.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.7.2 del plugin Splide Carousel Block. No se han confirmado casos de explotación en versiones posteriores.