Download Manager <= 3.3.66 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'icon' Shortcode Attribute (Cross-Site Scripting (XSS)) - version 3.3.67

Resumen ejecutivo

Se ha detectado una vulnerabilidad de tipo XSS en el plugin Download Manager hasta la versión 3.3.66, que permite a usuarios autenticados con rol de contribuyente inyectar scripts maliciosos. Esto puede comprometer la seguridad del sitio y la integridad de los datos, afectando la confianza de los usuarios.

Contexto técnico

El fallo se origina en el manejo inadecuado del atributo 'icon' en los shortcodes del plugin Download Manager. Los atacantes pueden aprovechar esta vulnerabilidad al enviar contenido malicioso a través de formularios, lo que permite la ejecución de scripts en el navegador de otros usuarios.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la ejecución de scripts no autorizados, lo que podría resultar en el robo de información sensible o la manipulación de la sesión del usuario. Esto puede afectar la reputación del negocio y la confianza de los clientes.

Vector de explotación

La vulnerabilidad puede ser explotada por usuarios autenticados con permisos de contribuyente, quienes pueden inyectar código JavaScript malicioso a través del shortcode del atributo 'icon'.

Mitigación recomendada

Actualizar el plugin Download Manager a la versión 3.3.67 o superior para corregir la vulnerabilidad. Revisar los permisos de los usuarios y limitar el acceso a funciones críticas del plugin. Implementar medidas de seguridad adicionales, como la validación de entradas y la sanitización de datos.

Señales de detección

Revisar los logs de acceso en busca de patrones inusuales de solicitudes que incluyan el atributo 'icon' en los shortcodes, así como cualquier actividad sospechosa por parte de usuarios con rol de contribuyente.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Download Manager hasta la 3.3.66. La versión 3.3.67 y posteriores no presentan esta vulnerabilidad.