WP Project Manager – Task, team, and project management plugin featuring kanban board and gantt charts <= 2.6.22 - Authenticated (Subscriber+) Stored Cross-Site Scripting via SVG File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin WP Project Manager, afectando a versiones anteriores a la 2.6.23. Esta vulnerabilidad permite a usuarios autenticados (nivel Subscriber o superior) inyectar scripts maliciosos a través de la carga de archivos SVG.

Contexto técnico

El fallo se origina en la gestión inadecuada de archivos SVG, que pueden contener código ejecutable. Esto permite que un atacante que tenga acceso como suscriptor o superior inyecte scripts que se ejecuten en el contexto de otros usuarios que visualicen el contenido afectado.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la seguridad de los usuarios al permitir que un atacante ejecute scripts en sus navegadores, lo que podría llevar al robo de información sensible o a la suplantación de identidad. Esto puede afectar la reputación de la organización y la confianza de los usuarios.

Vector de explotación

La explotación generalmente ocurre cuando un usuario autenticado carga un archivo SVG malicioso, que luego es procesado y visualizado por otros usuarios sin la debida sanitización.

Mitigación recomendada

Se recomienda actualizar el plugin WP Project Manager a la versión 2.6.23 o posterior. Además, se sugiere revisar los permisos de usuario y aplicar políticas de carga de archivos que limiten los tipos de archivos permitidos.

Señales de detección

Se debe estar atento a comportamientos inusuales en la carga de archivos, así como a la aparición de scripts no autorizados en las páginas del sitio. Logs de actividad de usuarios pueden ser útiles para identificar accesos sospechosos.

Alcance afectado

Las versiones del plugin WP Project Manager anteriores a la 2.6.23 están afectadas. Esto incluye todas las instalaciones que utilicen versiones hasta la 2.6.22.