Download Manager <= 3.3.61 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'note_before' and 'note_after' Shortcode Attributes (Cross-Site Scripting (XSS)) - version 3.3.62

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Download Manager hasta la versión 3.3.61. Este fallo permite a usuarios autenticados con rol de contribuyente o superior inyectar scripts maliciosos, lo que puede comprometer la seguridad del sitio.

Contexto técnico

La vulnerabilidad se encuentra en los atributos 'note_before' y 'note_after' de los shortcodes del plugin. Un atacante autenticado puede manipular estos atributos para insertar código JavaScript, lo que permite la ejecución de scripts en el navegador de otros usuarios.

Impacto potencial

El impacto en el negocio puede incluir el robo de datos sensibles, la alteración de la experiencia del usuario y la posible pérdida de confianza por parte de los visitantes. La severidad de esta vulnerabilidad se clasifica como media, con un CVSS de 6.4, lo que indica que es necesario tomar medidas correctivas.

Vector de explotación

La explotación de esta vulnerabilidad se lleva a cabo mediante la creación de contenido que utilice los shortcodes vulnerables, permitiendo la inyección de scripts al ser visualizado por otros usuarios.

Mitigación recomendada

Actualizar el plugin Download Manager a la versión 3.3.62 o superior para cerrar la vulnerabilidad. Revisar y sanitizar cualquier contenido que utilice los atributos 'note_before' y 'note_after' para evitar inyecciones futuras. Implementar políticas de seguridad adicionales, como Content Security Policy (CSP), para mitigar el riesgo de ejecución de scripts no autorizados.

Señales de detección

Buscar en los logs de acceso patrones inusuales de uso de los shortcodes relacionados con 'note_before' y 'note_after'. Monitorizar cualquier actividad sospechosa de usuarios autenticados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.3.62. No se han confirmado casos de explotación en versiones posteriores.