Video Gallery <= 2.4.1 - Authenticated (Administrator+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) almacenado en el plugin Video Gallery, que afecta a las versiones hasta la 2.4.1. Este fallo permite a un administrador autenticado ejecutar scripts maliciosos en el contexto de otros usuarios.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja la entrada de datos, permitiendo que un atacante inyecte código JavaScript en el contenido que se muestra a otros usuarios. Esto se produce cuando un usuario con privilegios de administrador introduce datos no sanitizados que luego son almacenados y renderizados en el frontend.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar código arbitrario en el navegador de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad o la propagación de malware, afectando la reputación y la seguridad del sitio.

Vector de explotación

Suele explotarse mediante la inyección de scripts maliciosos en campos de entrada del plugin por parte de un administrador, que luego son visualizados por otros usuarios sin la debida sanitización.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Video Gallery a la versión 2.4.2 o superior. Además, es aconsejable revisar y sanitizar adecuadamente todas las entradas de usuario en el plugin, así como implementar políticas de seguridad adicionales como Content Security Policy (CSP).

Señales de detección

Señales de posible explotación incluyen la aparición de comportamientos inusuales en el frontend, como la ejecución de scripts no autorizados o la manipulación de contenido por parte de usuarios no administradores.

Alcance afectado

Las versiones del plugin Video Gallery hasta la 2.4.1 son las afectadas. Las instalaciones que no han actualizado a la versión 2.4.2 o superior corren el riesgo de ser vulneradas.