En este informe de seguridad, se ha identificado una vulnerabilidad de Cross-Site Scripting almacenada en el plugin weForms – Easy Drag & Drop Contact Form Builder For WordPress. Esta vulnerabilidad permite a atacantes autenticados, con permisos de administrador o superiores, inyectar scripts web maliciosos en páginas que serán ejecutados cuando un usuario acceda a dicha página. Afecta a instalaciones de WordPress en modo multi-sitio y a instalaciones donde está deshabilitado el filtro unfiltered_html.
La vulnerabilidad se encuentra en la falta de sanitización de entradas y escape de salidas en la configuración de administrador del plugin weForms para WordPress, en todas las versiones anteriores a la versión 1.6.18 (exclusiva). Esto permite a un atacante autenticado aprovechar esta situación e inyectar scripts web maliciosos en páginas. Dichos scripts se ejecutarán cada vez que un usuario acceda a una página inyectada. Es importante destacar que esta vulnerabilidad solo afecta a instalaciones de WordPress en modo multi-sitio y a instalaciones donde se ha deshabilitado el filtro unfiltered_html.
Para mitigar esta vulnerabilidad, se recomienda a los usuarios actualizar el plugin weForms a la versión 1.6.18 o posterior, donde se ha solucionado este problema. Además, es fundamental mantener actualizado regularmente el software de WordPress y todos los complementos instalados, ya que muchas vulnerabilidades se corrigen en nuevas versiones. También se sugiere habilitar la opción de actualizaciones automáticas para una mayor seguridad.
La vulnerabilidad de Cross-Site Scripting almacenada en el plugin weForms para WordPress puede permitir a atacantes autenticados inyectar scripts web maliciosos en páginas, comprometiendo la seguridad de la plataforma. Para evitar este problema, los usuarios deben actualizar el plugin a la versión más reciente y mantener actualizado todo el software de WordPress y sus complementos. La seguridad en línea es fundamental, por lo que se recomienda tomar medidas preventivas para proteger las páginas web.