All-in-One Video Gallery <= 3.7.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Video Shortcode

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin All-in-One Video Gallery, que afecta a las versiones hasta la 3.7.1. Esta vulnerabilidad permite a un atacante autenticado inyectar scripts maliciosos a través de un shortcode de vídeo.

Contexto técnico

El fallo se presenta en la forma en que el plugin procesa los shortcodes de vídeo. Un usuario con permisos de contribuyente o superiores puede insertar código JavaScript malicioso, el cual se ejecutará en el navegador de otros usuarios que visualicen el contenido afectado.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la seguridad de los usuarios finales, permitiendo a los atacantes robar información sensible o realizar acciones no autorizadas en nombre de otros usuarios. Esto puede dañar la reputación del sitio y afectar la confianza de los usuarios.

Vector de explotación

Generalmente, la explotación se realiza mediante la creación de un shortcode de vídeo que incluye código JavaScript malicioso, el cual es luego procesado y ejecutado en el navegador de otros usuarios que acceden a la página donde se muestra el contenido.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin a la versión 3.8.3 o superior. Además, es aconsejable revisar los permisos de los usuarios y restringir el acceso a funciones críticas del plugin a roles de usuario más altos.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en el sitio, como redirecciones inesperadas o la ejecución de scripts no autorizados en el navegador. También se pueden monitorear los logs de acceso para detectar intentos de inyección de código.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin All-in-One Video Gallery hasta la 3.7.1. Se debe verificar si el plugin está instalado y en uso en el sitio web.