SendPulse Email Marketing Newsletter <= 2.2.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via _sp_form_code Post Meta (Cross-Site Scripting (XSS))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin SendPulse Email Marketing Newsletter, afectando a versiones hasta la 2.2.5. Este fallo permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos, lo que puede comprometer la seguridad del sitio web.

Contexto técnico

El fallo se encuentra en la gestión del meta dato _sp_form_code, donde se permite la inyección de código malicioso. La superficie de ataque está expuesta a usuarios autenticados con privilegios de colaborador o superiores, lo que aumenta el riesgo de explotación interna.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la ejecución de scripts no autorizados, afectando la integridad del sitio y la privacidad de los datos de los usuarios. Además, puede dañar la reputación de la organización y generar pérdidas económicas debido a la falta de confianza de los usuarios.

Vector de explotación

La explotación se realiza mediante la inyección de código JavaScript a través del campo _sp_form_code en las publicaciones, accesible para usuarios con permisos adecuados.

Mitigación recomendada

Actualizar el plugin SendPulse Email Marketing Newsletter a la versión 2.2.5 o superior. Revisar los permisos de usuario para limitar el acceso a roles no necesarios. Implementar medidas de seguridad adicionales, como la validación y sanitización de entradas.

Señales de detección

Revisar los logs de acceso para detectar patrones inusuales de modificación de publicaciones y la presencia de scripts no autorizados en el contenido generado por el plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.2.5. No se han reportado casos confirmados de explotación en versiones posteriores.