Gallery Blocks with Lightbox. Image Gallery, (HTML5 video , YouTube, Vimeo) Video Gallery and Lightbox for native gallery <= 3.2.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via galleryID and className Parameters

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Gallery Blocks with Lightbox' para WordPress, que afecta a las versiones hasta la 3.2.1. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos a través de parámetros específicos.

Contexto técnico

La vulnerabilidad se manifiesta en la forma en que el plugin procesa los parámetros 'galleryID' y 'className'. Un atacante puede manipular estos parámetros para insertar código JavaScript malicioso, que se ejecutará en el navegador de otros usuarios que visualicen la galería afectada.

Impacto potencial

El impacto potencial incluye el robo de información sensible, la suplantación de identidad y la posibilidad de realizar acciones no autorizadas en nombre de otros usuarios. Esto puede comprometer la integridad y la confianza en el sitio web, afectando tanto a la reputación como a la seguridad del negocio.

Vector de explotación

La explotación se realiza mediante la manipulación de los parámetros 'galleryID' y 'className' en una solicitud legítima, lo que permite a un atacante inyectar código malicioso que se ejecutará en el contexto del navegador de otros usuarios.

Mitigación recomendada

Actualizar el plugin 'Gallery Blocks with Lightbox' a la versión 3.2.2 o superior. Además, se recomienda revisar los permisos de usuario y limitar el acceso a funciones críticas del sitio a roles de usuario necesarios.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en el sitio, como redireccionamientos inesperados, mensajes de error relacionados con scripts, o la presencia de código JavaScript no autorizado en las páginas de la galería.

Alcance afectado

Las versiones del plugin 'Gallery Blocks with Lightbox' hasta la 3.2.1 están afectadas. Es crucial verificar la instalación actual del plugin para asegurar que no se está utilizando una versión vulnerable.