Live Chat Unlimited <= 2.8.3 - Unauthenticated Stored Cross-Site Scripting en Screets LCX (Cross-Site Scripting (XSS))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Screets Live Chat Unlimited, afectando a versiones anteriores a la 2.8.3. Esta falla permite la ejecución de scripts maliciosos, lo que puede comprometer la seguridad del sitio web y la información de los usuarios.

Contexto técnico

El fallo se presenta en la gestión de entradas no autenticadas, permitiendo que un atacante inyecte scripts maliciosos a través de formularios o parámetros URL. La superficie de ataque se centra en la interacción del usuario con el chat en vivo, donde los datos no son debidamente sanitizados.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la manipulación de sesiones de usuario, robo de información sensible y afectación de la reputación del negocio. Un ataque exitoso puede llevar a la pérdida de confianza por parte de los usuarios y daños financieros significativos.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando mensajes maliciosos a través del chat en vivo, que al ser visualizados por otros usuarios ejecutan el código inyectado en sus navegadores.

Mitigación recomendada

Actualizar el plugin Screets Live Chat Unlimited a la versión 2.8.3 o superior. Implementar medidas de sanitización y validación de entradas en todos los formularios del sitio. Revisar y aplicar políticas de seguridad de contenido (CSP) para mitigar riesgos de XSS.

Señales de detección

Revisar los registros de acceso y errores en busca de patrones inusuales relacionados con el plugin, así como la presencia de scripts no autorizados en las respuestas del chat.

Alcance afectado

Las versiones del plugin Screets Live Chat Unlimited anteriores a la 2.8.3 están afectadas. No se han confirmado casos en versiones posteriores.