Cozy Blocks <= 2.2.11 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'icon.view' Block Attribute en Cozy Addons (Cross-Site Scripting (XSS)) - version 2.2.12

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Cozy Blocks hasta la versión 2.2.11. Este fallo permite a usuarios autenticados con rol de contribuidor y superior ejecutar scripts maliciosos, comprometiendo la seguridad del sitio.

Contexto técnico

La vulnerabilidad se presenta a través del atributo 'icon.view' en bloques de Cozy Blocks, permitiendo inyecciones de código malicioso. La superficie de ataque se limita a usuarios autenticados que pueden manipular este atributo en el contenido.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la ejecución de scripts no autorizados, afectando la integridad del sitio y exponiendo datos sensibles. Esto podría llevar a un deterioro de la confianza de los usuarios y posibles sanciones regulatorias.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad manipulando el atributo 'icon.view' en bloques de contenido, lo que permite la inyección de código JavaScript malicioso.

Mitigación recomendada

Actualizar el plugin Cozy Blocks a la versión 2.2.12 o superior para corregir la vulnerabilidad. Revisar y limpiar cualquier contenido previamente creado que utilice el atributo 'icon.view'. Implementar políticas de seguridad que limiten los privilegios de los usuarios contribuyentes.

Señales de detección

Revisar los registros de actividad para detectar cambios inusuales en bloques de Cozy Blocks, especialmente en el atributo 'icon.view'.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.2.12 del plugin Cozy Blocks. No se han confirmado casos en versiones posteriores.