Elegant Themes Divi Theme, Extra Theme, Divi Page Builder <= 4.25.0 - Authenticated (Contributor+) DOM-Based Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS en los temas Divi y Extra de Elegant Themes y en el constructor de páginas Divi, que afecta a versiones hasta la 4.25.0. Esta vulnerabilidad permite a usuarios autenticados con permisos de contribuyente o superiores ejecutar scripts maliciosos en el navegador de otros usuarios.

Contexto técnico

La vulnerabilidad se manifiesta como un Cross-Site Scripting (XSS) basado en el DOM, lo que significa que el ataque se produce en el lado del cliente. Se puede aprovechar manipulando el Document Object Model (DOM) para inyectar código JavaScript malicioso que se ejecuta en el contexto de la víctima.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el navegador de otros usuarios autenticados, lo que puede resultar en el robo de información sensible, suplantación de identidad o la realización de acciones no autorizadas en nombre de la víctima.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando contenido malicioso a través de formularios o campos editables que son accesibles para usuarios con permisos de contribuyente o superiores, logrando que el código malicioso se ejecute en el navegador de otros usuarios.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el tema Divi y Extra, así como el constructor de páginas Divi, a la versión 4.25.1 o superior. Además, se debe revisar y validar adecuadamente todos los datos introducidos por los usuarios para prevenir la inyección de scripts.

Señales de detección

Señales de posible explotación incluyen la aparición de comportamientos inusuales en la interfaz de usuario, como redirecciones no autorizadas o la ejecución de scripts no deseados en el navegador. También se debe monitorizar el tráfico de red en busca de patrones sospechosos relacionados con la manipulación del DOM.

Alcance afectado

Las versiones afectadas son todas las versiones de los temas Divi y Extra, así como el constructor de páginas Divi, hasta la 4.25.0. La vulnerabilidad afecta a instalaciones donde los usuarios con permisos de contribuyente o superiores pueden interactuar con el contenido editable.