Web Push Notifications <= 4.39.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'webpushr_notification_title' Post Meta Parameter en Webpushr WEB Push Notifications (Cross-Site Scripting (XSS))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Web Push Notifications, afectando a versiones anteriores a la 4.39.0. Esta falla permite a usuarios autenticados inyectar scripts maliciosos, lo que puede comprometer la seguridad del sitio y la integridad de los datos operativos.

Contexto técnico

El fallo se presenta a través del parámetro 'webpushr_notification_title' en los metadatos de publicaciones. La exposición se da cuando un usuario con rol de colaborador o superior envía contenido malicioso, lo que permite la ejecución de scripts en el contexto del navegador de otros usuarios.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la manipulación de contenido y robo de información sensible, afectando la confianza del usuario y la reputación del negocio. La severidad se clasifica como media, con un CVSS score de 6.4, lo que indica un riesgo considerable que debe ser abordado.

Vector de explotación

Generalmente, el vector de explotación implica que un atacante autenticado envíe un payload malicioso a través del campo vulnerable, lo que puede ser ejecutado por otros usuarios que visualicen el contenido afectado.

Mitigación recomendada

Actualizar el plugin Web Push Notifications a la versión 4.39.0 o superior. Revisar y limpiar los metadatos de publicaciones existentes que puedan contener scripts maliciosos. Implementar medidas de seguridad adicionales, como la validación y sanitización de entradas en formularios.

Señales de detección

Señales a observar incluyen la aparición de scripts inusuales en los metadatos de publicaciones, así como logs de actividad que indiquen cambios no autorizados realizados por usuarios autenticados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.39.0 del plugin Web Push Notifications. No se han confirmado casos de explotación en versiones posteriores.