Z Companion <= 1.1.1 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Z Companion, que afecta a versiones hasta la 1.1.1. Esta falla permite la ejecución de scripts maliciosos a través de la carga de archivos SVG, comprometiendo la seguridad de los usuarios autenticados con rol de autor o superior.

Contexto técnico

El fallo se origina en la gestión inadecuada de la carga de archivos SVG, que permite a un atacante inyectar código JavaScript malicioso. Esta vulnerabilidad se clasifica como XSS almacenado, ya que el código inyectado se almacena en el servidor y se ejecuta cuando los usuarios acceden a la sección afectada del plugin.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la ejecución de scripts no autorizados en el navegador de los usuarios, lo que podría resultar en el robo de información sensible, la suplantación de identidad o la manipulación de sesiones. Esto representa un riesgo considerable para la integridad de los datos y la confianza de los usuarios en la plataforma.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad cargando un archivo SVG malicioso a través de una funcionalidad del plugin que permite la subida de archivos, aprovechando los permisos de los usuarios con rol de autor o superior para ejecutar el código malicioso.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Z Companion a la versión 1.1.2 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la validación y sanitización de archivos subidos, y la restricción de tipos de archivos permitidos.

Señales de detección

Se pueden detectar intentos de explotación mediante la monitorización de registros de actividad que muestren cargas de archivos sospechosos o la ejecución de scripts no autorizados en las páginas del plugin.

Alcance afectado

La vulnerabilidad afecta a todas las instalaciones del plugin Z Companion en versiones anteriores a la 1.1.2, lo que incluye una amplia base de usuarios que utilizan este plugin en sus sitios de WordPress.