Charitable – Donation & Fundraising Platform (Donation Forms, Recurring Donations & Fundraising Campaigns) < 1.8.5.3 - Authenticated (Administrator+) Stored Cross-Site Scripting (Cross-Site Scripting (XSS))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Charitable, afectando a versiones anteriores a 1.8.5.3. Esta falla permite a un atacante autenticado inyectar scripts maliciosos, comprometiendo la seguridad del sitio y la integridad de los datos operativos.

Contexto técnico

El fallo se presenta en el plugin Charitable, que gestiona donaciones y campañas de recaudación. La vulnerabilidad se activa cuando un administrador autenticado introduce contenido no validado, lo que permite la ejecución de scripts en el navegador de otros usuarios.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la manipulación de la interfaz de usuario y al robo de información sensible. Esto podría afectar la confianza de los donantes y la reputación de la organización, así como comprometer la integridad del sistema.

Vector de explotación

Generalmente, el ataque se lleva a cabo mediante la inyección de código JavaScript en campos de entrada que no son adecuadamente filtrados, permitiendo que el script se ejecute en el contexto de otros usuarios que acceden al sitio.

Mitigación recomendada

Actualizar el plugin Charitable a la versión 1.8.5.3 o superior. Realizar una auditoría de seguridad para identificar posibles vectores de ataque. Implementar medidas de seguridad adicionales, como la validación de entrada y el uso de Content Security Policy (CSP).

Señales de detección

Revisar los logs de acceso en busca de actividades sospechosas por parte de administradores, así como cambios inesperados en los formularios de donación.

Alcance afectado

Las versiones del plugin Charitable anteriores a 1.8.5.3 están afectadas. No se han confirmado casos en instalaciones que ya han sido actualizadas a la versión segura.