Advanced Social Media Icons <= 1.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'social' Shortcode (Cross-Site Scripting (XSS))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Advanced Social Media Icons, que afecta a las versiones hasta la 1.2. Este fallo permite a los atacantes autenticados inyectar scripts maliciosos, lo que puede comprometer la seguridad de la información del usuario y afectar la operativa del sitio.

Contexto técnico

La vulnerabilidad reside en el shortcode 'social' del plugin, permitiendo a usuarios con rol de Contributor o superior inyectar código JavaScript malicioso. Esto se convierte en un vector de ataque que puede ser explotado para robar información sensible o realizar acciones no autorizadas en nombre del usuario.

Impacto potencial

El impacto potencial incluye el robo de datos de usuarios y la posibilidad de que el sitio sea utilizado para distribuir malware. Esto puede resultar en una pérdida de confianza por parte de los usuarios y repercusiones legales si se comprometen datos personales.

Vector de explotación

La explotación se lleva a cabo mediante la inyección de código en el shortcode 'social', lo que permite a un atacante ejecutar scripts en el navegador de otros usuarios que visiten la página afectada.

Mitigación recomendada

Actualizar el plugin Advanced Social Media Icons a la versión 1.2 o superior. Revisar y restringir los permisos de los usuarios que pueden acceder a la funcionalidad del shortcode. Implementar medidas de seguridad adicionales como Content Security Policy (CSP) para mitigar el impacto de futuros ataques XSS.

Señales de detección

Señales de riesgo incluyen logs de actividad inusual por parte de usuarios con privilegios, así como la presencia de scripts no autorizados en las páginas que utilizan el shortcode 'social'.

Alcance afectado

El fallo afecta a todas las instalaciones del plugin Advanced Social Media Icons hasta la versión 1.2. No se han reportado casos de explotación en versiones posteriores.