Advanced Ads – Ad Manager & AdSense <= 2.0.22 - Authenticated (Contributor+) Stored Cross-Site Scripting (Cross-Site Scripting (XSS)) - version 2.0.23

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS almacenado en el plugin Advanced Ads, que afecta a versiones hasta la 2.0.22. La explotación de este fallo puede comprometer la seguridad de los usuarios con privilegios de contribuyente y afectar la integridad del sitio.

Contexto técnico

El fallo se presenta en el plugin Advanced Ads, específicamente en las versiones hasta la 2.0.22. La vulnerabilidad permite a un atacante autenticado inyectar scripts maliciosos que se ejecutan en el navegador de otros usuarios, lo que puede comprometer datos sensibles.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la ejecución de scripts no autorizados, afectando la confianza de los usuarios y la integridad del contenido. Esto podría resultar en pérdida de datos o acceso no autorizado a información sensible.

Vector de explotación

El ataque se realiza a través de la inyección de código malicioso en campos de entrada que no validan correctamente los datos, permitiendo que el script se ejecute en el contexto de otros usuarios autenticados.

Mitigación recomendada

Actualizar el plugin Advanced Ads a la versión 2.0.23 o superior para corregir la vulnerabilidad. Revisar y sanitizar todos los campos de entrada en el plugin para prevenir inyecciones de código. Implementar políticas de seguridad de contenido (CSP) para mitigar el riesgo de ejecución de scripts maliciosos.

Señales de detección

Monitorear los registros de actividad del plugin en busca de entradas inusuales o intentos de inyección de scripts. Revisar configuraciones que permitan la ejecución de scripts en entradas de usuarios.

Alcance afectado

Las versiones de Advanced Ads hasta la 2.0.22 están afectadas. No se han confirmado casos en versiones posteriores a la 2.0.23.