CM Custom Reports <= 1.2.7 - Authenticated (Administrator+) Stored Cross-Site Scripting via Plugin Labels

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin CM Custom Reports, afectando a versiones hasta la 1.2.7. Este fallo permite que un atacante autenticado con privilegios de administrador inyecte scripts maliciosos a través de las etiquetas del plugin.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las etiquetas de los informes personalizados. Un atacante puede insertar código JavaScript malicioso que se ejecutará en el navegador de otros usuarios, lo que puede comprometer la seguridad de la sesión del usuario y permitir el robo de información sensible.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de la sesión de otros administradores o usuarios, lo que podría llevar a la manipulación de datos, suplantación de identidad o acceso no autorizado a información crítica.

Vector de explotación

Generalmente, esta vulnerabilidad se explota mediante la creación de etiquetas maliciosas en el plugin, que luego son visualizadas por otros usuarios con permisos. El atacante necesita tener acceso como administrador para poder inyectar el código malicioso.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin CM Custom Reports a la versión 1.2.8 o superior. Además, se debe revisar y validar todas las entradas de usuario para prevenir la inyección de scripts y aplicar políticas de seguridad adecuadas en la gestión de plugins.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en el sitio web, como redirecciones inesperadas o la ejecución de scripts no autorizados en el navegador. También se pueden monitorizar los registros de actividad para detectar cambios en las etiquetas del plugin.

Alcance afectado

Las versiones del plugin CM Custom Reports anteriores a la 1.2.8 son las afectadas. Se debe revisar la instalación y actualizar si es necesario para evitar el riesgo de explotación.