Complianz - GDPR/CCPA Cookie Consent <= 6.4.1 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Complianz - GDPR/CCPA Cookie Consent, que afecta a las versiones hasta la 6.4.1. Esta vulnerabilidad permite a los atacantes autenticados inyectar scripts maliciosos en el sitio web.

Contexto técnico

La vulnerabilidad se presenta en el manejo de entradas en el plugin, permitiendo que un usuario autenticado (con rol de colaborador o superior) almacene un script malicioso que se ejecutará en el navegador de otros usuarios. Esto se traduce en un riesgo de ejecución de código arbitrario en el contexto del navegador, afectando la integridad del sitio.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el navegador de otros usuarios, comprometiendo la seguridad de la información y la confianza en el sitio. Esto puede llevar a la sustracción de datos sensibles o a la manipulación del contenido presentado a los usuarios.

Vector de explotación

La explotación se realiza mediante la autenticación en el sitio y la inyección de código malicioso en los campos de entrada del plugin, lo que puede ser realizado por cualquier usuario con permisos de colaborador o superiores.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Complianz - GDPR/CCPA Cookie Consent a la versión 6.4.2 o superior. Además, se debe revisar y restringir los permisos de los usuarios autenticados para evitar inyecciones maliciosas.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts no autorizados en las páginas del sitio, así como comportamientos anómalos en la interacción de los usuarios con el contenido del sitio web.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 6.4.2 del plugin Complianz - GDPR/CCPA Cookie Consent.