Enable SVG, WebP & ICO Upload <= 1.0.2 - Authenticated (Author+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Enable SVG, WebP & ICO Upload' en versiones hasta la 1.0.2. Esta falla permite a un atacante autenticado inyectar scripts maliciosos en el sitio web.

Contexto técnico

La vulnerabilidad se manifiesta a través de la falta de validación adecuada de los datos introducidos por el usuario, lo que permite la ejecución de scripts en el contexto de otros usuarios. Esto se produce en el manejo de archivos cargados, específicamente en el procesamiento de formatos SVG, WebP e ICO.

Impacto potencial

El impacto de esta vulnerabilidad, aunque clasificado como bajo, puede ser significativo si se explota, ya que permite a un atacante ejecutar código arbitrario en el navegador de otros usuarios, lo que puede llevar al robo de información sensible o a la manipulación de la experiencia del usuario.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la carga de un archivo SVG que contiene código JavaScript malicioso, que se ejecuta cuando otros usuarios acceden a la página afectada.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.0.3 o superior. Además, es aconsejable implementar medidas de validación y sanitización de datos en cualquier formulario de carga de archivos.

Señales de detección

Señales de posible explotación incluyen la presencia de scripts inusuales en el código fuente de las páginas afectadas o la actividad sospechosa en los registros de acceso de usuarios autenticados.

Alcance afectado

Las versiones del plugin 'Enable SVG, WebP & ICO Upload' hasta la 1.0.2 son las afectadas. Se recomienda revisar las instalaciones que utilicen este plugin.