Suki Sites Import <= 1.2.1 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Suki Sites Import, que afecta a las versiones hasta la 1.2.1. Esta vulnerabilidad permite a usuarios autenticados con rol de autor cargar archivos SVG maliciosos, lo que puede comprometer la seguridad del sitio.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja la carga de archivos SVG. Al no sanitizar correctamente el contenido de estos archivos, un atacante puede inyectar scripts maliciosos que se ejecutan en el navegador de otros usuarios que visitan la página afectada.

Impacto potencial

El impacto puede ser significativo, ya que permite a un atacante ejecutar código JavaScript en el contexto de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad o manipulación de la interfaz del usuario. Esto puede afectar la reputación del negocio y la confianza de los usuarios.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad al hacer que un usuario autenticado suba un archivo SVG malicioso. Una vez cargado, cualquier visitante que acceda a la página donde se muestra el SVG puede ser víctima del ataque.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Suki Sites Import a la versión 1.2.1 o superior. Además, se debe implementar una política de seguridad que limite la carga de tipos de archivos potencialmente peligrosos y se debe considerar la sanitización de todos los archivos subidos.

Señales de detección

Señales de posible explotación incluyen la aparición de archivos SVG sospechosos en la biblioteca de medios, así como comportamientos inusuales en los navegadores de los usuarios, como redirecciones inesperadas o mensajes de alerta.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Suki Sites Import anteriores a la 1.2.1. Se recomienda revisar todas las instalaciones que utilicen este plugin.