Page Builder: Pagelayer – Drag and Drop website builder <= 2.0.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via Anchor Block (Cross-Site Scripting (XSS)) - version 2.1.0

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Pagelayer, afectando a versiones hasta la 2.0.9. Este fallo permite a usuarios autenticados con rol de contribuidor o superior ejecutar scripts maliciosos, lo que puede comprometer la seguridad del sitio.

Contexto técnico

El fallo se produce en el bloque de anclaje del plugin Pagelayer, donde se permite la inyección de código JavaScript. La exposición ocurre al interactuar con elementos de la interfaz de usuario, permitiendo que un atacante autenticado ejecute código en el contexto del navegador de otros usuarios.

Impacto potencial

El impacto en el negocio puede incluir la pérdida de datos sensibles, la alteración de la experiencia del usuario y posibles daños a la reputación del sitio. La vulnerabilidad tiene una severidad media (CVSS 6.4), lo que indica que, aunque no es crítica, puede ser explotada para obtener acceso no autorizado a información sensible.

Vector de explotación

La explotación se realiza mediante la creación de un enlace malicioso que, al ser visitado por otros usuarios, ejecuta el código JavaScript inyectado, comprometiendo así la seguridad del sitio.

Mitigación recomendada

Actualizar el plugin Pagelayer a la versión 2.1.0 o superior para corregir la vulnerabilidad. Revisar los roles y permisos de los usuarios para limitar el acceso a funciones críticas. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web (WAF) para mitigar ataques XSS.

Señales de detección

Monitorizar los logs del servidor en busca de patrones inusuales, como la ejecución de scripts no autorizados o cambios en el contenido de las páginas.

Alcance afectado

Las versiones del plugin Pagelayer hasta la 2.0.9 están afectadas. No se han confirmado otros escenarios o plugins relacionados que puedan verse comprometidos.