WP-Polls <= 2.77.3 - Authenticated (Administrator+) Stored Cross-Site Scripting en WP Polls (Cross-Site Scripting (XSS))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin WP-Polls en versiones hasta 2.77.3, que permite a administradores autenticados ejecutar scripts maliciosos. Esto puede comprometer la integridad del sitio y la seguridad de los datos de los usuarios.

Contexto técnico

La vulnerabilidad se presenta en la gestión de entradas de usuario en el plugin WP-Polls, permitiendo a administradores autenticados introducir código JavaScript malicioso. La superficie de ataque se amplía a cualquier usuario con privilegios de administrador que interactúe con el sistema de encuestas.

Impacto potencial

El impacto de esta vulnerabilidad puede incluir la ejecución de scripts no autorizados, lo que pone en riesgo la seguridad de los datos y la confianza de los usuarios. Un ataque exitoso podría llevar a la manipulación de contenido o la exposición de información sensible.

Vector de explotación

La explotación se lleva a cabo mediante la inserción de código JavaScript malicioso en las encuestas creadas por administradores, que se ejecuta cuando otros usuarios visualizan dicha encuesta.

Mitigación recomendada

Actualizar el plugin WP-Polls a la versión 2.77.4 o superior para corregir la vulnerabilidad. Revisar y limpiar cualquier entrada de encuesta existente que pueda contener scripts maliciosos. Implementar medidas de seguridad adicionales como la validación de entradas y la sanitización de datos en formularios.

Señales de detección

Monitorear los registros de acceso para detectar patrones inusuales o intentos de inyección de scripts. Revisar configuraciones del plugin para identificar cambios no autorizados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.77.4 del plugin WP-Polls. No se han confirmado casos de explotación en versiones posteriores.