1. El atacante inicia sesión con una cuenta de usuario válida.
2. El atacante crea o edita un Job, Course o Batch.
3. Se inserta JavaScript malicioso en el campo de descripción.
4. El payload se guarda en la base de datos.
5. Cualquier usuario que abra la página afectada activa el payload.

Prueba de Concepto (PoC)

Pasos para Reproducir:

1. Inicia sesión como cualquier usuario autenticado.
2. Navega a la página de creación o edición de Job / Course / Batch.
3. Pega el payload en el campo de descripción.
4. Guarda el formulario.
5. Abre el Job / Course / Batch creado.
6. El JavaScript se ejecuta en el navegador.

Causa Raíz

• Sanitización de HTML del lado del servidor ausente o insuficiente
• Renderizado no seguro de la entrada proporcionada por el usuario
• Falta de codificación de salida en las plantillas

Corrección / Mitigación

Parche Oficial

• Corregido en la versión: 2.42.0

Mejoras de Seguridad Implementadas

• Sanitización adecuada de HTML en la entrada
• Codificación segura de salida antes del renderizado
• Restricción de etiquetas y atributos ejecutables

Buenas Prácticas Recomendadas

• Sanitizar siempre la entrada del usuario en el lado del servidor
• Aplicar codificación de salida según el contexto (HTML, JS, URL)
• Usar un sanitizador de HTML de confianza (p. ej., DOMPurify)
• Implementar una Política de Seguridad de Contenido (CSP)

Cronología

• Reportado por: Dharan Raghunathan
• Estado: Corregido
• Versión del parche: Versión 2.42.0

Agradecimientos

Este problema fue divulgado de manera responsable por Dharan Raghunathan.

Referencias

• XSS almacenado de OWASP: https://owasp.org/www-community/attacks/xss/
• CWE-79: Neutralización incorrecta de la entrada durante la generación de la página web
• Aviso de GitHub: https://github.com/frappe/lms/security/advisories/GHSA-jjc4-j3hw-33h2

Aviso Legal

Este documento es solo para fines educativos y de seguridad defensiva.