FluentSMTP <= 2.2.95 - Unauthenticated Stored Cross-Site Scripting via Recipient Display Name (to.name) in Email Logs en Fluent Smtp (Cross-Site Scripting (XSS)) - version 2.3.0

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin FluentSMTP, que permite la inyección de scripts maliciosos a través del nombre de visualización del destinatario en los registros de correo. Esta falla, con un nivel de severidad alto (CVSS 7.2), puede comprometer la seguridad de los datos y la integridad del sistema operativo si no se mitiga adecuadamente.

Contexto técnico

La vulnerabilidad se presenta en el plugin FluentSMTP en versiones hasta la 2.2.95, donde un atacante puede explotar el campo 'to.name' en los registros de correo electrónico sin necesidad de autenticación. Esto permite la inyección de scripts que se ejecutan en el contexto del navegador de un usuario legítimo, facilitando ataques de XSS.

Impacto potencial

El impacto potencial de esta vulnerabilidad puede ser significativo, ya que permite a atacantes ejecutar scripts arbitrarios en el navegador de los usuarios, lo que podría resultar en el robo de información sensible o la manipulación de sesiones. Esto afecta la confianza de los usuarios y la reputación del negocio.

Vector de explotación

La explotación se realiza mediante el envío de correos electrónicos que contienen un nombre de destinatario manipulado, lo que provoca que el script malicioso se ejecute en el navegador del usuario que visualiza el registro de correo.

Mitigación recomendada

Actualizar el plugin FluentSMTP a la versión 2.3.0 o superior para corregir la vulnerabilidad. Revisar y limpiar los registros de correos electrónicos para eliminar cualquier entrada sospechosa. Implementar medidas de seguridad adicionales, como Content Security Policy (CSP), para mitigar el riesgo de XSS.

Señales de detección

Señales que pueden indicar explotación incluyen la presencia de scripts no autorizados en los registros de correo y patrones inusuales en las entradas del campo 'to.name'.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.3.0 del plugin FluentSMTP. No se han confirmado casos de explotación en versiones posteriores.