Advanced Custom Fields <= 6.3.8 & Secure Custom Fields <= 6.3.6.2 - Authenticated (Admin+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en los plugins Advanced Custom Fields hasta la versión 6.3.8 y Secure Custom Fields hasta la versión 6.3.6.2. Esta falla permite a un usuario autenticado con privilegios de administrador ejecutar scripts maliciosos en el navegador de otros usuarios.

Contexto técnico

La vulnerabilidad se origina en la forma en que los plugins gestionan la entrada de datos, permitiendo que un atacante inyecte código JavaScript a través de campos personalizados. Esto afecta principalmente a las áreas donde se muestran datos sin la debida sanitización, creando una superficie de ataque que puede ser explotada por usuarios con acceso administrativo.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de otros usuarios, lo que podría llevar al robo de información sensible, manipulación de datos o incluso la toma de control de cuentas de usuario. Esto puede afectar la reputación de la empresa y la confianza de los clientes.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la creación de un campo personalizado que contenga código JavaScript malicioso. Un usuario autenticado con privilegios de administrador podría guardar este campo y, al visualizarlo, el script se ejecutaría en el navegador de otros usuarios que accedan a esa información.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar los plugins afectados a la versión 6.3.9 o superior. Además, se debe revisar y sanitizar adecuadamente cualquier entrada de datos en los campos personalizados para prevenir la inyección de scripts maliciosos.

Señales de detección

Señales que pueden indicar la explotación de esta vulnerabilidad incluyen la aparición de comportamientos inusuales en la interfaz de usuario, como redirecciones inesperadas o la ejecución de scripts no autorizados. También se deben monitorizar los registros de acceso para detectar actividades sospechosas por parte de usuarios con privilegios elevados.

Alcance afectado

Las versiones afectadas son Advanced Custom Fields hasta la 6.3.8 y Secure Custom Fields hasta la 6.3.6.2. Es importante verificar si se utilizan estas versiones en las instalaciones de WordPress.