Uploading SVG, WEBP and ICO files <= 1.0.1 - Authenticated Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Uploading SVG, WEBP and ICO files' en versiones hasta la 1.0.1. Esta vulnerabilidad permite la ejecución de scripts maliciosos en el contexto del usuario autenticado.

Contexto técnico

La vulnerabilidad se encuentra en la forma en que el plugin maneja la carga de archivos SVG, WEBP e ICO, lo que permite a un atacante inyectar código JavaScript malicioso. Esto puede ocurrir cuando un usuario autenticado sube un archivo manipulado, que luego es procesado y mostrado sin la debida sanitización.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el navegador de otros usuarios autenticados, lo que podría llevar al robo de información sensible, suplantación de identidad o manipulación de la sesión del usuario.

Vector de explotación

Generalmente, el ataque se lleva a cabo mediante la carga de un archivo malicioso por parte de un usuario autenticado, seguido de la visualización de ese archivo en el sitio web, lo que activa el código JavaScript inyectado.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 1.2.0 o superior, donde se ha corregido esta vulnerabilidad. Además, es aconsejable realizar una revisión de los archivos cargados y aplicar medidas de seguridad adicionales para la gestión de archivos.

Señales de detección

Señales de riesgo incluyen la presencia de archivos SVG, WEBP o ICO no verificados en el sistema, así como comportamientos inusuales en las sesiones de usuarios autenticados que podrían indicar un ataque en curso.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.2.0 del plugin 'Uploading SVG, WEBP and ICO files'.