Fonto – Custom Web Fonts Manager <= 1.2.1 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Fonto, que permite a usuarios autenticados subir archivos SVG maliciosos. Esta vulnerabilidad afecta a la versión 1.2.1 y tiene un nivel de severidad medio.

Contexto técnico

El fallo se origina en la gestión de la subida de archivos SVG dentro del plugin Fonto, lo que permite la ejecución de scripts maliciosos en el contexto del usuario autenticado. Esto puede ser aprovechado por un atacante que tenga acceso a la cuenta de un autor o superior para inyectar código malicioso en el sitio web.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad del sitio, permitiendo a un atacante ejecutar scripts en el navegador de otros usuarios, lo que puede llevar al robo de información sensible o manipulación de datos. Además, puede afectar la reputación del negocio y la confianza de los usuarios.

Vector de explotación

Generalmente, el ataque se realiza mediante la subida de un archivo SVG que contiene código JavaScript malicioso, el cual se ejecuta cuando otros usuarios acceden a la página afectada.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Fonto a la versión 1.2.2 o superior. Además, se sugiere implementar controles adicionales en la validación de archivos subidos, restringiendo los tipos de archivos permitidos y revisando las configuraciones de seguridad del servidor.

Señales de detección

Señales de posible explotación incluyen la aparición de comportamientos inusuales en el sitio, como redirecciones no autorizadas o la inyección de contenido extraño en las páginas. También se deben revisar los logs de acceso para detectar actividades sospechosas relacionadas con la subida de archivos.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Fonto hasta la 1.2.1. Se debe verificar el uso de este plugin en todas las instalaciones de WordPress que puedan estar en riesgo.