Nexter Blocks <= 4.7.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'commentIcon' Block Attribute en THE Plus Addons FOR Block Editor (Cross-Site Scripting (XSS)) - version 4.7.5

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Nexter Blocks, afectando a las versiones hasta la 4.7.4. Esta falla permite a usuarios autenticados con rol de colaborador y superiores inyectar scripts maliciosos, comprometiendo la seguridad del sitio web.

Contexto técnico

El fallo se presenta a través del atributo 'commentIcon' en bloques de contenido, lo que permite la inyección de código JavaScript. La superficie de ataque es accesible a usuarios que tienen permisos de contribuidor o superiores, facilitando la explotación sin necesidad de privilegios de administrador.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en el robo de información sensible, manipulación de contenido y pérdida de confianza por parte de los usuarios. Esto puede tener repercusiones económicas y de reputación para el negocio afectado.

Vector de explotación

La vulnerabilidad se suele explotar mediante la creación de comentarios que contienen scripts maliciosos, los cuales se ejecutan cuando otros usuarios visualizan el contenido afectado.

Mitigación recomendada

Actualizar el plugin Nexter Blocks a la versión 4.7.5 o superior para corregir la vulnerabilidad. Revisar y limpiar cualquier contenido existente que pueda contener scripts maliciosos. Implementar medidas de seguridad adicionales como la validación de entradas y la sanitización de datos en formularios.

Señales de detección

Monitorear los logs del servidor en busca de entradas inusuales en comentarios o bloques de contenido. También se deben revisar las configuraciones de permisos de usuario para detectar accesos no autorizados.

Alcance afectado

Las versiones del plugin Nexter Blocks hasta la 4.7.4 están afectadas. No se ha confirmado la existencia de casos en versiones anteriores a la 4.7.0.