Basticom Framework <= 1.5.0 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) almacenado en el plugin Basticom Framework, que afecta a las versiones hasta 1.5.0. Esta vulnerabilidad permite a un autor autenticado cargar archivos SVG maliciosos, comprometiendo la seguridad del sitio.

Contexto técnico

El fallo se origina en la gestión inadecuada de archivos SVG durante las cargas, permitiendo que un atacante autenticado inyecte scripts maliciosos que se almacenan y ejecutan en el navegador de otros usuarios. La superficie de ataque se amplía a cualquier usuario con privilegios de autor que tenga acceso al sistema de carga de archivos.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en el robo de información sensible, manipulación de contenido o redirección de usuarios a sitios maliciosos, lo que podría dañar la reputación del negocio y comprometer la integridad de los datos.

Vector de explotación

Generalmente, un atacante autenticado puede cargar un archivo SVG que contenga código JavaScript malicioso. Este código se ejecuta cuando otros usuarios acceden a la página que muestra el contenido afectado, provocando el XSS almacenado.

Mitigación recomendada

Actualizar el plugin Basticom Framework a la versión 1.5.1 o superior para mitigar esta vulnerabilidad. Además, se recomienda revisar y restringir los tipos de archivos que se permiten cargar y aplicar medidas de validación y sanitización adecuadas.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en la aplicación, como redirecciones inesperadas o la inyección de contenido no autorizado. También se deben monitorizar los logs de carga de archivos para detectar patrones anómalos.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.5.1 del plugin Basticom Framework. Se recomienda a los usuarios que verifiquen la versión instalada en sus sitios.