WP All Import Pro <= 4.9.7 - Authenticated (Administrator+) Stored Cross-Site Scripting via SVG File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin WP All Import Pro, que afecta a las versiones hasta la 4.9.7. Esta vulnerabilidad permite a un usuario autenticado con privilegios de administrador ejecutar scripts maliciosos mediante la carga de archivos SVG.

Contexto técnico

La vulnerabilidad radica en la forma en que el plugin maneja la carga de archivos SVG, lo que permite que un atacante inserte código JavaScript malicioso en el sitio. Al ser un fallo de XSS almacenado, el código puede ejecutarse en el contexto de otros usuarios que visiten la página afectada, comprometiendo así la seguridad del sitio.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el navegador de otros usuarios autenticados, lo que podría resultar en el robo de información sensible, secuestro de sesiones o redirección a sitios maliciosos. Esto puede dañar la reputación del negocio y la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad suele realizarse mediante la carga de un archivo SVG malicioso por parte de un administrador, seguido de la visita de otros usuarios al contenido afectado donde se ejecuta el script malicioso.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin WP All Import Pro a la versión 4.9.8 o superior. Además, se sugiere realizar una revisión de los permisos de usuario, limitando el acceso a la carga de archivos solo a aquellos que realmente lo necesiten.

Señales de detección

Se deben monitorizar los registros de actividad del plugin en busca de cargas de archivos SVG inusuales o comportamientos sospechosos en las sesiones de usuario. La presencia de scripts no autorizados en las páginas generadas también puede ser un indicativo de explotación.

Alcance afectado

Las versiones del plugin WP All Import Pro hasta la 4.9.7 son las afectadas. Los usuarios que utilicen estas versiones deben tomar medidas inmediatas para actualizar.