LocateAndFilter <= 1.6.14 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin LocateAndFilter, que afecta a versiones hasta la 1.6.14. Este fallo permite a los autores autenticados inyectar scripts maliciosos a través de la carga de archivos SVG.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja la carga de archivos SVG, permitiendo a los usuarios autenticados (con rol de autor o superior) subir archivos que pueden contener código JavaScript malicioso. Esto se traduce en una ejecución de scripts en el navegador de otros usuarios que visiten la página afectada.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante inyectar y ejecutar scripts en el contexto de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad y otros ataques dirigidos que comprometen la seguridad del sitio.

Vector de explotación

Generalmente, esta vulnerabilidad se explota mediante la carga de un archivo SVG malicioso por parte de un usuario autenticado, seguido de la visualización de ese archivo por otros usuarios en el sitio web, lo que activa el código inyectado.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin LocateAndFilter a la versión 1.6.16 o superior. Además, se debe considerar deshabilitar la carga de archivos SVG si no es necesaria y aplicar políticas de validación estrictas sobre los tipos de archivos permitidos.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en el sitio web, como redireccionamientos inesperados o la inyección de contenido no autorizado en las páginas. También se deben monitorizar los registros de actividad de los usuarios para detectar cargas de archivos sospechosos.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.6.16 del plugin LocateAndFilter. Es importante verificar si el plugin está instalado y en uso en el sitio web.