Lottie Player <= 1.1.8 - Authenticated (Author+) Stored Cross-Site Scripting via File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) almacenado en el plugin Lottie Player, que puede ser explotada por usuarios autenticados con privilegios de autor. Esta vulnerabilidad afecta a las versiones anteriores a la 1.2.0 del plugin.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las cargas de archivos, permitiendo a los atacantes inyectar scripts maliciosos que se almacenan y se ejecutan en el navegador de otros usuarios. Esto se clasifica como un XSS almacenado, lo que amplifica su impacto al afectar a múltiples usuarios.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad o manipulación de contenido. Esto puede dañar la reputación de la organización y comprometer la seguridad de los usuarios.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la carga de archivos que contienen código JavaScript malicioso, que luego se ejecuta cuando otros usuarios acceden a la página afectada. Esto requiere que el atacante tenga acceso como autor, lo que limita el vector de ataque a usuarios autenticados.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Lottie Player a la versión 1.2.0 o superior. Además, se sugiere implementar medidas de validación y sanitización de archivos subidos, así como revisar los permisos de usuario para limitar el acceso a funciones críticas.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts no autorizados en las páginas del sitio, así como comportamientos inusuales de los usuarios, como redirecciones inesperadas o mensajes de alerta en el navegador.

Alcance afectado

Las versiones del plugin Lottie Player anteriores a la 1.2.0 son las que se ven afectadas. La vulnerabilidad fue publicada el 23 de abril de 2025, y es crucial que los administradores de sitios que utilizan este plugin realicen la actualización de inmediato.