WP SVG Images <= 3.3 - Authenticated (author+) Stored Cross-Site Scripting via SVG

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin WP SVG Images, que afecta a las versiones hasta la 3.3. Esta vulnerabilidad permite a usuarios autenticados con rol de autor o superior inyectar scripts maliciosos a través de imágenes SVG.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las imágenes SVG, permitiendo que un atacante autenticado inyecte código JavaScript en el contenido que se muestra a otros usuarios. Esto puede ocurrir al subir imágenes SVG maliciosas que no son debidamente sanitizadas.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el navegador de otros usuarios, lo que podría llevar al robo de información sensible o a la manipulación de la sesión del usuario afectado. Esto puede comprometer la integridad del sitio y la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad se realiza mediante la subida de una imagen SVG maliciosa por un usuario autenticado con permisos de autor o superiores, que luego es visualizada por otros usuarios en el sitio web.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin WP SVG Images a la versión 3.4 o superior. Además, es aconsejable revisar las configuraciones de seguridad del sitio y aplicar prácticas de sanitización en la carga de archivos.

Señales de detección

Señales de posible explotación incluyen la aparición de comportamientos inusuales en el sitio, como redirecciones inesperadas o la inyección de contenido no autorizado en las páginas. Además, se deben monitorizar los logs de actividad de usuarios con permisos de autor.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin WP SVG Images hasta la 3.3. Las instalaciones que no han actualizado a la versión 3.4 o superior están en riesgo.