Elegant Themes Divi Theme, Extra Theme, Divi Page Builder <= 4.25.0 - Authenticated (Contributor+) DOM-Based Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en las versiones del tema Divi y Extra de Elegant Themes, así como en el constructor de páginas Divi, que afecta a usuarios autenticados con rol de contribuyente o superior. Esta vulnerabilidad puede ser explotada para inyectar scripts maliciosos en el navegador de otros usuarios.

Contexto técnico

La vulnerabilidad se manifiesta como un XSS almacenado basado en DOM, lo que significa que los scripts maliciosos se almacenan en el lado del cliente y se ejecutan en el contexto del navegador del usuario. Esto puede ocurrir cuando un usuario autenticado manipula el contenido de la página de manera que se inyecten scripts no deseados.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el navegador de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad o redirección a sitios maliciosos. Esto puede afectar la reputación de la marca y la confianza de los usuarios en el sitio web.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza a través de la inyección de contenido malicioso por parte de un usuario autenticado que tiene permisos adecuados para modificar el contenido. Esto puede incluir la inserción de código JavaScript en formularios o campos de entrada que se reflejan en la interfaz del usuario.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el tema Divi, Extra y el constructor de páginas Divi a la versión 4.25.1 o superior. Además, se sugiere revisar los permisos de usuario y aplicar prácticas de validación y saneamiento de datos en todas las entradas del usuario.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en la aplicación, como redirecciones inesperadas o la ejecución de scripts no autorizados en el navegador. También se pueden monitorear los registros de actividad de los usuarios para detectar modificaciones sospechosas.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.25.1 del tema Divi, Extra y el Divi Page Builder. Se recomienda a los administradores de sitios que verifiquen su versión actual y apliquen las actualizaciones necesarias.