SVG Support <= 2.5.10 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin SVG Support, que afecta a las versiones hasta la 2.5.10. Esta vulnerabilidad permite la ejecución de scripts maliciosos a través de la carga de archivos SVG por usuarios autenticados con privilegios de autor o superiores.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja la carga de archivos SVG, permitiendo que un atacante autenticado inyecte código JavaScript malicioso. La superficie de ataque se limita a usuarios con permisos de autor o mayores, quienes pueden subir archivos SVG a la plataforma.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad del sitio web, permitiendo a un atacante ejecutar scripts en el contexto de otros usuarios, lo que puede llevar al robo de información sensible o a la manipulación del contenido del sitio. Esto podría resultar en daños a la reputación y pérdidas económicas para el negocio.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad al subir un archivo SVG malicioso a través de la funcionalidad de carga del plugin, lo que les permite ejecutar código en el navegador de otros usuarios que visiten la página afectada.

Mitigación recomendada

Se recomienda actualizar el plugin SVG Support a la versión 2.5.11 o superior para mitigar esta vulnerabilidad. Además, es aconsejable revisar las configuraciones de permisos de usuario y limitar la capacidad de carga de archivos a solo aquellos que realmente lo necesiten.

Señales de detección

Las señales de posible explotación incluyen la presencia de archivos SVG sospechosos en el sistema y comportamientos inusuales en los registros de actividad de los usuarios, especialmente aquellos con permisos de autor.

Alcance afectado

Las versiones del plugin SVG Support hasta la 2.5.10 son vulnerables. Se debe verificar la instalación del plugin en todos los sitios que lo utilicen.