Photo Gallery by 10Web – Mobile-Friendly Image Gallery <= 1.8.21 - Authenticated (Admin+) Stored Cross-Site Scripting via SVG

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Photo Gallery by 10Web' en versiones hasta la 1.8.21. Esta vulnerabilidad permite que un usuario autenticado con privilegios de administrador inyecte scripts maliciosos a través de archivos SVG.

Contexto técnico

La vulnerabilidad se presenta en el manejo de archivos SVG, lo que permite a un atacante inyectar código JavaScript malicioso en el contexto de la aplicación. Esto ocurre cuando los archivos SVG no son correctamente sanitizados, exponiendo así la superficie de ataque a usuarios autenticados con privilegios elevados.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de scripts en el navegador de otros usuarios, lo que podría llevar al robo de credenciales o la manipulación de datos. Esto puede comprometer la integridad del sitio y la confianza de los usuarios.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante el uso de un archivo SVG malicioso que es subido a la galería de imágenes. Una vez que el archivo es visualizado por otros usuarios, el script malicioso se ejecuta en su navegador.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 1.8.22 o posterior. Además, es aconsejable revisar la configuración de seguridad del sitio y aplicar prácticas de hardening, como la validación y sanitización de entradas y la restricción de tipos de archivos permitidos.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts inusuales en las páginas de la galería o actividad sospechosa por parte de usuarios con privilegios de administrador. Monitorear los registros de actividad puede ayudar a identificar accesos no autorizados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.8.22 del plugin 'Photo Gallery by 10Web'.