Photo Gallery - GT3 Image Gallery & Gutenberg Block Gallery <= 2.7.7.25 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) almacenado en el plugin Photo Gallery - GT3 Image Gallery & Gutenberg Block Gallery, que afecta a versiones hasta la 2.7.7.25. La gravedad de esta vulnerabilidad es media, con un CVSS de 6.4.

Contexto técnico

La vulnerabilidad permite a un atacante autenticado (con rol de colaborador o superior) inyectar scripts maliciosos que se almacenan y se ejecutan en el navegador de otros usuarios. Esto se produce debido a una falta de validación adecuada de las entradas en el plugin, lo que amplía la superficie de ataque al permitir que se manipulen los datos visibles para otros.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la seguridad de los usuarios, permitiendo a un atacante robar información sensible, realizar acciones en nombre de otros usuarios o propagar malware. Esto podría resultar en daños a la reputación del negocio y pérdida de confianza por parte de los usuarios.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando contenido malicioso a través de formularios del plugin, que luego se almacena y se muestra a otros usuarios sin la debida sanitización.

Mitigación recomendada

Actualizar el plugin a la versión 2.7.7.26 o superior para corregir la vulnerabilidad. Además, se recomienda revisar las configuraciones de permisos de usuario y aplicar medidas de seguridad adicionales, como el uso de un firewall de aplicaciones web.

Señales de detección

Señales de posible explotación incluyen la presencia de scripts inusuales en las entradas de los usuarios, así como comportamientos anómalos en la interacción de los usuarios con el contenido del plugin.

Alcance afectado

Las versiones del plugin Photo Gallery - GT3 Image Gallery & Gutenberg Block Gallery hasta la 2.7.7.25 están afectadas. Se debe verificar la instalación de este plugin en el sitio web para evaluar el riesgo.