WPBakery Page Builder Addons by Livemesh <= 3.9.4 - Authenticated (Contributor+) Stored Cross-Site Scripting en Addons FOR Visual Composer (Cross-Site Scripting (XSS))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS almacenado en el plugin WPBakery Page Builder Addons, que afecta a versiones anteriores a la 3.9.4. Esta falla permite a usuarios autenticados con rol de contribuyente inyectar scripts maliciosos, comprometiendo la seguridad del sitio.

Contexto técnico

La vulnerabilidad se manifiesta a través de la inyección de scripts en campos de entrada que no validan adecuadamente los datos. Los atacantes pueden aprovechar esto al enviar contenido malicioso que se almacena y se ejecuta en el navegador de otros usuarios.

Impacto potencial

El impacto puede incluir la manipulación de sesiones de usuario, el robo de información sensible y la alteración del contenido del sitio. Esto puede afectar la reputación del negocio y la confianza del usuario.

Vector de explotación

La explotación se realiza mediante la autenticación de un usuario con rol de contribuyente que envía datos maliciosos a través de formularios del plugin.

Mitigación recomendada

Actualizar el plugin WPBakery Page Builder Addons a la versión 3.9.4 o superior. Revisar y limpiar cualquier contenido que pueda haber sido inyectado previamente. Implementar medidas de seguridad adicionales, como la validación de entrada y la sanitización de datos.

Señales de detección

Revisar los logs de acceso para detectar patrones inusuales de actividad de usuarios con rol de contribuyente y analizar cambios en el contenido del sitio.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.9.4. No se han confirmado otros escenarios de explotación fuera de este contexto.