Kali Forms <= 2.4.18 - Unauthenticated Stored Cross-Site Scripting (Cross-Site Scripting (XSS)) - version 2.4.19

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Kali Forms, afectando a versiones hasta la 2.4.18. Este fallo permite la ejecución de scripts maliciosos, lo que podría comprometer la seguridad de los usuarios y la integridad del sitio web.

Contexto técnico

La vulnerabilidad se presenta en el componente Kali Forms, específicamente en la gestión de entradas no autenticadas. Esto significa que un atacante puede inyectar scripts maliciosos a través de formularios, afectando a cualquier usuario que interactúe con el contenido comprometido.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar código en el navegador de los usuarios, lo que puede resultar en el robo de información sensible o la manipulación de la experiencia del usuario. La severidad se clasifica como alta, con un CVSS de 7.2, lo que indica un riesgo considerable para la seguridad del sitio.

Vector de explotación

La explotación típicamente se realiza mediante la inyección de scripts a través de formularios que no requieren autenticación, permitiendo que cualquier visitante malintencionado aproveche la vulnerabilidad.

Mitigación recomendada

Actualizar el plugin Kali Forms a la versión 2.4.19 o superior. Revisar y validar la entrada de datos de formularios para prevenir inyecciones de scripts. Implementar medidas de seguridad adicionales, como Content Security Policy (CSP), para mitigar riesgos futuros.

Señales de detección

Señales a observar incluyen entradas sospechosas en los logs de acceso y cambios no autorizados en la configuración de los formularios. También se pueden buscar patrones de tráfico inusual que indiquen intentos de explotación.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.4.19 del plugin Kali Forms. No se han confirmado casos en versiones posteriores.