Download Manager <= 3.3.60 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'no_data_msg' Shortcode Attribute (Cross-Site Scripting (XSS)) - version 3.3.61

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Download Manager, afectando a versiones hasta la 3.3.60. Esta falla permite a usuarios autenticados con rol de contribuyente inyectar scripts maliciosos, lo que podría comprometer la seguridad de la aplicación y sus usuarios.

Contexto técnico

La vulnerabilidad se encuentra en el atributo 'no_data_msg' del shortcode del plugin Download Manager. Un atacante, al tener acceso como contribuyente, puede manipular este atributo para inyectar código JavaScript, lo que expone a los usuarios a ataques XSS al visualizar contenido afectado.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto del navegador de otros usuarios, lo que podría llevar al robo de credenciales o la manipulación de sesiones. Esto puede afectar la reputación de la organización y la confianza de los usuarios.

Vector de explotación

La explotación se realiza mediante la modificación del atributo 'no_data_msg' en un shortcode, lo que permite la inyección de contenido malicioso que se ejecuta al visualizar la página afectada.

Mitigación recomendada

Actualizar el plugin Download Manager a la versión 3.3.61 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario para limitar el acceso a funciones críticas del plugin. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web (WAF), para mitigar ataques XSS.

Señales de detección

Revisar los logs de acceso en busca de patrones inusuales relacionados con el shortcode 'no_data_msg' y cambios en el contenido de las páginas que utilizan este plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.3.61. No se han confirmado casos en versiones posteriores o en otros plugins.