Enable SVG, WebP & ICO Upload <= 1.1.1 - Authenticated (Author+) Stored Cross-Site Scripting via SVG

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Enable SVG, WebP & ICO Upload' en versiones hasta la 1.1.1. Esta vulnerabilidad permite la ejecución de scripts maliciosos a través de archivos SVG, afectando la seguridad de las instalaciones que lo utilizan.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja la carga de archivos SVG. Al permitir la carga de estos archivos sin la debida sanitización, un atacante autenticado puede inyectar código JavaScript malicioso que se ejecutará en el navegador de otros usuarios que visiten la página afectada.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad o redirección a sitios maliciosos. Esto puede dañar la reputación del negocio y comprometer la seguridad de los datos de los usuarios.

Vector de explotación

La explotación generalmente se lleva a cabo por un atacante autenticado que sube un archivo SVG malicioso. Posteriormente, este archivo es visualizado por otros usuarios, lo que desencadena la ejecución del script inyectado.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.1.2 o superior. Además, se sugiere revisar las configuraciones de seguridad de la carga de archivos y aplicar medidas de sanitización adicionales para los tipos de archivos permitidos.

Señales de detección

Señales de riesgo incluyen la detección de archivos SVG no autorizados en la biblioteca de medios, así como comportamientos inusuales en las sesiones de usuarios, como redirecciones inesperadas o aparición de contenido no deseado.

Alcance afectado

Las versiones afectadas son todas aquellas hasta la 1.1.1 del plugin 'Enable SVG, WebP & ICO Upload'.