AM LottiePlayer <= 3.5.3 - Authenticated (Author+) Stored Cross-Site Scripting via Uploaded Lottie File

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin AM LottiePlayer, que afecta a las versiones hasta la 3.5.3. Esta vulnerabilidad permite la ejecución de scripts maliciosos a través de archivos Lottie subidos por usuarios autenticados.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja los archivos Lottie subidos, permitiendo que un atacante autenticado inyecte código JavaScript malicioso. Esto puede llevar a la ejecución no autorizada de scripts en el navegador de otros usuarios que visualicen el contenido afectado.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto del navegador de otros usuarios, lo que podría resultar en el robo de datos sensibles, suplantación de identidad o redirección a sitios maliciosos. Esto puede afectar la confianza de los usuarios y la reputación del sitio web.

Vector de explotación

La explotación de esta vulnerabilidad generalmente requiere que el atacante tenga acceso de autor o superior al sitio. Una vez autenticado, puede subir un archivo Lottie manipulado que contenga código malicioso, el cual se ejecutará cuando otros usuarios accedan a la funcionalidad afectada del plugin.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin AM LottiePlayer a la versión 3.5.4 o superior. Además, se sugiere revisar los permisos de usuario y limitar el acceso a la carga de archivos Lottie a usuarios de confianza. Implementar medidas de validación y sanitización de entradas también es crucial.

Señales de detección

Señales de posible explotación incluyen la detección de archivos Lottie inusuales en el sistema, así como el monitoreo de comportamientos anómalos en el navegador de los usuarios, como redirecciones inesperadas o ejecución de scripts no autorizados.

Alcance afectado

Las versiones del plugin AM LottiePlayer hasta la 3.5.3 son vulnerables. La versión 3.5.4 corrige esta vulnerabilidad, por lo que todas las instalaciones que utilicen versiones anteriores están en riesgo.