Divi Torque Lite – Divi Theme and Extra Theme <= 3.6.6 - Authenticated (Author+) Stored Cross-Site Scripting via SVG Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Divi Torque Lite' para versiones hasta la 3.6.6. Esta vulnerabilidad permite la ejecución de scripts maliciosos a través de la carga de archivos SVG por usuarios autenticados con privilegios de autor o superiores.

Contexto técnico

El fallo se origina en la forma en que el plugin gestiona la carga de archivos SVG, permitiendo a los usuarios autenticados inyectar scripts que se ejecutan en el contexto del navegador de otros usuarios. La superficie de ataque se centra en las funciones de carga de archivos del plugin, donde se omiten las validaciones adecuadas para los archivos SVG.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad del sitio, permitiendo a un atacante ejecutar código arbitrario en el navegador de otros usuarios. Esto podría resultar en el robo de información sensible, la manipulación del contenido del sitio o la redirección a sitios maliciosos, afectando así la reputación y la confianza del negocio.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad subiendo un archivo SVG malicioso a través de las funciones de carga disponibles para usuarios autenticados. Una vez cargado, el script se ejecuta cuando otros usuarios acceden a la página que muestra el contenido del archivo SVG.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin 'Divi Torque Lite' a la versión 4.0.0 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la validación de archivos cargados y la desactivación de la carga de archivos SVG si no es necesaria.

Señales de detección

Señales de posible explotación incluyen la presencia de archivos SVG no autorizados en la biblioteca de medios y comportamientos inusuales en los registros de acceso, como solicitudes que intentan cargar archivos SVG por parte de usuarios con permisos limitados.

Alcance afectado

Las versiones del plugin 'Divi Torque Lite' hasta la 3.6.6 son vulnerables. Esto incluye todas las instalaciones que utilicen estas versiones antes de la actualización a la 4.0.0.