Goodlayers Core <= 2.1.2 - Authenticated (Subscriber+) Stored Cross-Site Scripting via SVG Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) almacenado en el plugin Goodlayers Core, que afecta a las versiones hasta la 2.1.2. Esta vulnerabilidad permite a usuarios autenticados con rol de suscriptor o superior ejecutar scripts maliciosos a través de la carga de archivos SVG.

Contexto técnico

El fallo se origina en la falta de validación adecuada al procesar archivos SVG subidos por los usuarios. Esto permite que un atacante inyecte código JavaScript que se almacena y se ejecuta en el navegador de otros usuarios que visitan la página afectada, comprometiendo así la integridad de la sesión.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la ejecución de scripts maliciosos en el contexto de otros usuarios, lo que podría resultar en el robo de información sensible, como credenciales de acceso, o en la manipulación del contenido del sitio web. Esto puede afectar la confianza de los usuarios y la reputación del negocio.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad subiendo un archivo SVG malicioso a través de formularios permitidos para usuarios autenticados, lo que les permite inyectar código JavaScript que se ejecuta en el navegador de otros usuarios.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Goodlayers Core a la versión 2.1.3 o superior. Además, se sugiere implementar medidas de validación y sanitización de archivos subidos, así como establecer políticas de seguridad de contenido (CSP) para limitar la ejecución de scripts no autorizados.

Señales de detección

Señales de posible explotación incluyen la aparición de comportamientos inusuales en el sitio web, como redirecciones inesperadas o la ejecución de scripts no autorizados. También se pueden monitorizar los registros de actividad de usuarios para detectar cargas de archivos SVG sospechosas.

Alcance afectado

Las versiones del plugin Goodlayers Core hasta la 2.1.2 están afectadas. Es crucial que los administradores de sitios que utilicen este plugin verifiquen su versión y procedan a actualizar.