Zita Elementor Site Library <= 1.6.3 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Zita Elementor Site Library, que afecta a las versiones hasta la 1.6.3. Esta vulnerabilidad permite a usuarios autenticados (con rol de autor o superior) inyectar scripts maliciosos a través de la carga de archivos SVG.

Contexto técnico

La vulnerabilidad se manifiesta en la funcionalidad de carga de archivos SVG del plugin, donde no se realizan las validaciones adecuadas para los archivos subidos. Esto permite que un atacante autenticado pueda almacenar código JavaScript malicioso que se ejecutará en el navegador de otros usuarios al visualizar el contenido afectado.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad o redirección a sitios maliciosos. Esto puede comprometer la integridad del sitio y la confianza de los usuarios.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la carga de un archivo SVG que contiene código JavaScript malicioso, seguido de la visualización del contenido donde se ha inyectado el script. Esto requiere que el atacante tenga acceso como usuario autenticado con permisos de autor o superior.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Zita Elementor Site Library a la versión 1.6.4 o superior. Además, se debe implementar una validación estricta de los tipos de archivos permitidos y considerar deshabilitar la carga de archivos SVG si no es necesaria.

Señales de detección

Señales de posible explotación incluyen la aparición de archivos SVG sospechosos en la biblioteca de medios, así como comportamientos inusuales en el sitio, como redirecciones inesperadas o la ejecución de scripts no autorizados en el navegador.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.6.4 del plugin Zita Elementor Site Library. Se recomienda a los administradores de WordPress revisar las instalaciones y realizar las actualizaciones necesarias.