Videojs HTML5 Player <= 1.1.11 - Authenticated (Contributor+) Stored Cross-Site Scripting via videojs_video Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Videojs HTML5 Player, que afecta a las versiones hasta la 1.1.11. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior ejecutar scripts maliciosos en el navegador de otros usuarios.

Contexto técnico

La vulnerabilidad se origina en el shortcode 'videojs_video', que no valida adecuadamente la entrada de datos. Esto permite la inyección de código JavaScript malicioso, lo que podría comprometer la seguridad de la aplicación y de los usuarios que interactúan con ella.

Impacto potencial

El impacto de esta vulnerabilidad puede incluir el robo de información sensible, la manipulación de la sesión del usuario y la posibilidad de que se utilicen las credenciales de los usuarios para acciones no autorizadas. Esto puede afectar la confianza de los usuarios y la reputación del sitio web.

Vector de explotación

La explotación de esta vulnerabilidad suele llevarse a cabo mediante la creación de contenido que incluya el shortcode vulnerable, permitiendo a un atacante inyectar scripts maliciosos que se ejecutan en el contexto de otros usuarios autenticados.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Videojs HTML5 Player a la versión 1.1.12 o superior. Además, se debe revisar y sanitizar cualquier entrada de datos que se procese a través de shortcodes en el sitio web.

Señales de detección

Señales de riesgo pueden incluir la aparición de comportamientos inusuales en el sitio, como redirecciones inesperadas o la ejecución de scripts no autorizados en el navegador de los usuarios. También se recomienda monitorizar los logs de acceso para detectar posibles intentos de explotación.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.1.12 del plugin Videojs HTML5 Player. Es crucial que los administradores de sitios que utilicen este plugin verifiquen su versión y apliquen la actualización necesaria.