AcyMailing <= 10.10.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'alignment' Attribute (Cross-Site Scripting (XSS)) - version 10.11.0

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin AcyMailing, afectando a versiones hasta la 10.10.2. Este fallo permite a usuarios autenticados con rol de Contributor o superior inyectar scripts maliciosos, lo que puede comprometer la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se origina en el atributo 'alignment' del plugin AcyMailing, permitiendo la inyección de código JavaScript en el contenido. La superficie de ataque se presenta a través de formularios donde los usuarios pueden modificar este atributo, facilitando así la explotación de la vulnerabilidad.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante ejecutar scripts en el contexto del navegador de otros usuarios, lo que pone en riesgo datos sensibles y la integridad del sitio. Esto puede resultar en un daño a la reputación y pérdida de confianza por parte de los usuarios.

Vector de explotación

La explotación generalmente se lleva a cabo mediante la modificación del atributo 'alignment' en formularios accesibles por usuarios autenticados, lo que permite la inyección de código malicioso.

Mitigación recomendada

Actualizar el plugin AcyMailing a la versión 10.11.0 o superior para corregir la vulnerabilidad. Revisar y sanitizar todos los inputs que permitan la entrada de datos en el atributo 'alignment'. Implementar políticas de seguridad de contenido (CSP) para mitigar el riesgo de ejecución de scripts no autorizados.

Señales de detección

Monitorear los logs de acceso en busca de patrones inusuales relacionados con el atributo 'alignment' y verificar configuraciones del plugin AcyMailing.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 10.11.0. No se han confirmado otros escenarios de explotación fuera de los roles de Contributor o superiores.