AVIF & SVG Uploader <= 1.1.0 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin AVIF & SVG Uploader, que afecta a las versiones hasta la 1.1.0. Esta falla permite a usuarios autenticados inyectar scripts maliciosos a través de la carga de archivos SVG.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja la carga de archivos SVG. Al no validar adecuadamente el contenido de estos archivos, un atacante puede introducir código JavaScript malicioso que se ejecutará en el navegador de otros usuarios que visualicen el contenido afectado.

Impacto potencial

El impacto de esta vulnerabilidad puede ser considerable, ya que permite a un atacante ejecutar scripts en el contexto de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad o redirección a sitios maliciosos. Esto puede dañar la reputación de la empresa y comprometer la seguridad de los datos de los usuarios.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la carga de un archivo SVG que contiene código malicioso por parte de un usuario autenticado con privilegios de autor o superiores. Una vez cargado, el script se ejecuta cuando otros usuarios acceden a la sección afectada del sitio.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.1.1 o superior. Además, se sugiere implementar medidas de validación y sanitización más estrictas para los archivos que se permiten cargar, así como revisar los permisos de usuario para limitar la capacidad de carga de archivos a roles necesarios.

Señales de detección

Se pueden identificar intentos de explotación observando peticiones inusuales en los registros del servidor que involucren la carga de archivos SVG, así como la aparición de scripts no autorizados en las páginas que deberían ser seguras.

Alcance afectado

Las versiones del plugin AVIF & SVG Uploader hasta la 1.1.0 son susceptibles a esta vulnerabilidad. Se recomienda revisar las instalaciones que utilicen este plugin para asegurar que están actualizadas.