Elastik Page Builder <= 0.27.4 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Elastik Page Builder, que afecta a las versiones anteriores a la 0.27.4. Esta vulnerabilidad permite la ejecución de scripts maliciosos a través de la carga de archivos SVG por usuarios autenticados con rol de autor o superior.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja la carga de archivos SVG. Al no validar adecuadamente el contenido de estos archivos, un atacante autenticado puede inyectar scripts que se ejecutan en el navegador de otros usuarios, lo que constituye un riesgo de XSS almacenado.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad del sitio web, permitiendo a un atacante robar información sensible, manipular contenido o realizar acciones no autorizadas en nombre de otros usuarios. Esto puede resultar en daños a la reputación de la empresa y pérdida de confianza por parte de los usuarios.

Vector de explotación

Generalmente, la explotación se lleva a cabo cuando un usuario con privilegios de autor o superior carga un archivo SVG malicioso. Este archivo, al ser visualizado por otros usuarios, ejecuta el código JavaScript inyectado, afectando su sesión.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Elastik Page Builder a la versión 0.27.4 o superior. Además, se sugiere implementar medidas de validación y sanitización de archivos en el sistema de carga de medios de WordPress.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts no autorizados en el contenido generado por el plugin, así como actividades sospechosas en las cuentas de usuarios con rol de autor o superior.

Alcance afectado

Las versiones del plugin Elastik Page Builder anteriores a la 0.27.4 son las afectadas. Se recomienda revisar todas las instalaciones que utilicen este plugin.