Photo Gallery by 10Web – Mobile-Friendly Image Gallery <= 1.8.23 - Authenticated (Contributor+) Stored Cross-Site Scripting via Zipped SVG

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Photo Gallery by 10Web, que afecta a versiones anteriores a la 1.8.24. Este fallo permite la inyección de scripts maliciosos en el contexto de usuarios autenticados con rol de colaborador o superior.

Contexto técnico

La vulnerabilidad se manifiesta a través de la carga de archivos SVG comprimidos que contienen código JavaScript malicioso. Este tipo de ataque se considera 'Stored XSS', ya que el script se almacena en el servidor y se ejecuta en el navegador de otros usuarios cuando visualizan la galería de imágenes afectada.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de otros usuarios autenticados, lo que podría llevar al robo de información sensible, manipulación de cuentas o propagación de malware. Esto pone en riesgo tanto la integridad de los datos como la confianza del usuario en la plataforma.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad subiendo un archivo ZIP que contenga un SVG malicioso, el cual se ejecutará cuando otros usuarios accedan a la galería de imágenes. Este proceso no requiere interacción adicional por parte de la víctima.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Photo Gallery by 10Web a la versión 1.8.24 o superior. Además, se sugiere revisar los permisos de usuario y limitar la capacidad de carga de archivos a roles de usuario adecuados. Implementar medidas de seguridad adicionales como la validación de archivos subidos también es aconsejable.

Señales de detección

Señales de posible explotación incluyen la presencia de archivos SVG sospechosos en la galería de imágenes y comportamientos inusuales en la interacción de los usuarios con el contenido de la galería. Monitorear logs de acceso y actividad de usuarios puede ayudar a identificar intentos de explotación.

Alcance afectado

Las versiones del plugin Photo Gallery by 10Web anteriores a la 1.8.24 están afectadas. Esto incluye todas las instalaciones que no han sido actualizadas desde la publicación de la vulnerabilidad el 6 de junio de 2024.