Videojs HTML5 Player <= 1.1.8 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Videojs HTML5 Player, que afecta a las versiones hasta la 1.1.8. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja las entradas de los usuarios, permitiendo que se almacenen scripts en el servidor, los cuales pueden ser ejecutados en el navegador de otros usuarios. Esto se clasifica como una vulnerabilidad de XSS almacenado.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la seguridad de los usuarios, permitiendo el robo de información sensible y la manipulación de la sesión del usuario. Esto puede traducirse en daños a la reputación de la organización y pérdida de confianza por parte de los usuarios.

Vector de explotación

Generalmente, un atacante autenticado puede aprovechar esta vulnerabilidad al insertar código malicioso en campos que se procesan y muestran sin la debida sanitización, afectando a otros usuarios que visualicen el contenido.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin a la versión 1.1.9 o superior. Además, se sugiere revisar las configuraciones de permisos de los usuarios y aplicar medidas de sanitización en las entradas de los usuarios.

Señales de detección

Se pueden detectar intentos de explotación mediante la monitorización de registros de actividad que muestren inserciones inusuales de scripts o comportamientos extraños en la interacción de los usuarios con el sitio.

Alcance afectado

Las versiones del plugin Videojs HTML5 Player hasta la 1.1.8 son las afectadas. Se recomienda verificar las instalaciones en uso para asegurar que no se encuentren en esta versión vulnerable.