File Sharing & Download Manager <= 2.1.6 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'fldr_ttl' Parameter en User Private Files (Cross-Site Scripting (XSS)) - version 2.1.7

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin User Private Files, que afecta a las versiones hasta 2.1.6. Esta vulnerabilidad permite a usuarios autenticados (nivel Subscriber y superior) inyectar scripts maliciosos, lo que puede comprometer la seguridad del sitio.

Contexto técnico

La vulnerabilidad se encuentra en el parámetro 'fldr_ttl', donde un atacante puede inyectar código JavaScript que se ejecuta en el navegador de otros usuarios. Esto se produce en un entorno donde los usuarios tienen acceso a funciones de carga y gestión de archivos.

Impacto potencial

El impacto potencial incluye la posibilidad de robo de información sensible, suplantación de identidad y manipulación del contenido del sitio. Aunque la severidad es media (CVSS 6.4), la explotación exitosa puede afectar la confianza de los usuarios y la integridad del sistema.

Vector de explotación

El ataque se lleva a cabo mediante el envío de una solicitud HTTP manipulada que incluye un script malicioso a través del parámetro 'fldr_ttl', que se procesa sin la debida validación.

Mitigación recomendada

Actualizar el plugin User Private Files a la versión 2.1.7 o superior. Revisar los permisos de usuario para limitar el acceso a funciones críticas. Implementar medidas de sanitización y validación de entradas en formularios. Realizar auditorías regulares de seguridad para detectar vulnerabilidades similares.

Señales de detección

Buscar en los registros del servidor solicitudes inusuales que incluyan el parámetro 'fldr_ttl' con contenido JavaScript. También se deben revisar cambios inesperados en los archivos o configuraciones del plugin.

Alcance afectado

Las versiones afectadas incluyen todas las anteriores a la 2.1.7. No se han confirmado otros escenarios fuera de este contexto específico.