Image Optimization by Optimole – Lazy Load, CDN, Convert WebP & AVIF <= 3.12.10 - Authenticated (Author+) Stored Cross-Site Scripting via SVG Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Image Optimization by Optimole' en versiones hasta la 3.12.10. Esta vulnerabilidad permite la ejecución de scripts maliciosos a través de la carga de archivos SVG por usuarios autenticados.

Contexto técnico

La vulnerabilidad se presenta en el manejo de archivos SVG, permitiendo a un autor autenticado cargar contenido malicioso que puede ser ejecutado en el navegador de otros usuarios. Esto se clasifica como un XSS almacenado, ya que el script malicioso se guarda en el servidor y se reproduce en las sesiones de otros usuarios.

Impacto potencial

El impacto de esta vulnerabilidad es medio, con un CVSS de 6.4. Un atacante podría potencialmente robar información sensible, realizar acciones en nombre de otros usuarios o comprometer la integridad del sitio web, afectando tanto a la reputación como a la seguridad del negocio.

Vector de explotación

Normalmente, la explotación se lleva a cabo mediante la carga de un archivo SVG malicioso por un usuario autenticado, que luego se muestra a otros usuarios sin la debida sanitización, permitiendo la ejecución de código JavaScript no autorizado.

Mitigación recomendada

Actualizar el plugin 'Image Optimization by Optimole' a la versión 3.13.0 o superior. Además, se recomienda revisar las configuraciones de carga de archivos y aplicar medidas de sanitización adicionales para archivos SVG.

Señales de detección

Se deben monitorizar los registros de actividad para detectar cargas de archivos SVG inusuales y comportamientos sospechosos en las sesiones de usuario. Alertas sobre cambios en el contenido de las páginas que incluyan scripts no autorizados también son indicativas.

Alcance afectado

Las versiones del plugin 'Image Optimization by Optimole' hasta la 3.12.10 están afectadas por esta vulnerabilidad. Es crucial verificar las instalaciones en uso para asegurar que no se está ejecutando una versión vulnerable.