Best WordPress Gallery Plugin – FooGallery <= 2.4.7 -Authenticated(Administrator+) Stored Cross-Site Scripting via settings

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin FooGallery, afectando a versiones hasta la 2.4.7. Esta vulnerabilidad permite a un atacante autenticado con privilegios de administrador inyectar scripts maliciosos a través de la configuración del plugin.

Contexto técnico

La vulnerabilidad se presenta en la funcionalidad de configuración del plugin FooGallery, donde un atacante autenticado puede introducir código JavaScript malicioso. Esto se traduce en un riesgo de ejecución de scripts en el navegador de otros usuarios que visiten la galería afectada, lo que puede comprometer la seguridad de la sesión del usuario.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de otros usuarios, potencialmente robando información sensible o realizando acciones no autorizadas en nombre de los mismos. Esto podría resultar en pérdida de datos, compromisos de cuentas y daños a la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad requiere que el atacante tenga acceso como administrador al panel de WordPress. Una vez dentro, puede manipular las configuraciones del plugin para incluir código malicioso que se ejecutará cuando otros usuarios accedan a la galería.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin FooGallery a la versión 2.4.9 o superior. Además, es aconsejable revisar las configuraciones del plugin y realizar auditorías de seguridad periódicas para detectar posibles inyecciones de código malicioso.

Señales de detección

Se deben monitorizar los registros de acceso y actividad del plugin para detectar cambios no autorizados en la configuración. También es recomendable implementar herramientas de seguridad que alerten sobre la ejecución de scripts inusuales en el frontend.

Alcance afectado

Las versiones afectadas del plugin FooGallery son todas las versiones hasta la 2.4.7. La vulnerabilidad ha sido corregida en la versión 2.4.9 lanzada el 14 de febrero de 2024.