Stored XSS on Microsoft Word (Office 365)

Background

Microsoft Office 365 es la suite de productividad en la nube de Microsoft, que incluye Word, Excel, PowerPoint y otras aplicaciones.

Description

La vulnerabilidad de cross-site scripting almacenada afecta a Microsoft Word dentro de Office 365. El fallo permite a los atacantes ejecutar código HTML o script arbitrario que persiste en la aplicación de la víctima. La vulnerabilidad existe en la funcionalidad "Insert Video Online", donde el código suministrado por el usuario no se valida adecuadamente antes de procesarse.

Business impact

Los atacantes podrían explotar esta vulnerabilidad para robar información sensible como credenciales de usuario y datos personales mediante la ejecución de código arbitrario en el contexto del usuario.

Systems affected

Microsoft Office 365 (Word)

Solution

Se recomienda el escape adecuado de datos no confiables, validación del lado del servidor, bibliotecas de auto-sanitización y Content Security Policy.

Disclosure timeline

References

The information contained within this advisory is supplied 'as-is' with no warranties or guarantees of fitness of use or otherwise. Internet Security Auditors accepts no responsibility for any damage caused by the use or misuse of this information.