Astra <= 4.12.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Post Meta

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el tema Astra, que afecta a las versiones hasta la 4.12.3. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través de los metadatos de las publicaciones.

Contexto técnico

El fallo radica en la falta de validación adecuada de los datos de entrada en los metadatos de las publicaciones, lo que permite la inyección de código JavaScript. La superficie de ataque se amplía a cualquier usuario autenticado que tenga permisos para crear o editar publicaciones.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad del sitio, permitiendo a un atacante ejecutar scripts en el navegador de otros usuarios, lo que puede llevar al robo de información sensible o a la manipulación del contenido del sitio. Esto puede tener repercusiones negativas en la reputación del negocio y en la confianza de los usuarios.

Vector de explotación

Normalmente, esta vulnerabilidad se explota mediante la creación de una publicación que contenga un script malicioso en los metadatos, que luego se ejecuta cuando otros usuarios acceden a la publicación afectada.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el tema Astra a la versión 4.12.4 o superior. Además, es aconsejable implementar medidas de validación de entrada más estrictas y revisar los permisos de los usuarios para limitar el acceso a funciones críticas.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts no autorizados en las publicaciones o comportamientos inusuales en el navegador de los usuarios, como redireccionamientos inesperados o mensajes de alerta.

Alcance afectado

Las versiones afectadas son todas las versiones del tema Astra hasta la 4.12.3. Se recomienda a los administradores de sitios que utilicen este tema que verifiquen su versión actual.