FV Flowplayer Video Player <= 7.5.51.7212 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'video_player' Shortcode en FV Wordpress Flowplayer (Cross-Site Scripting (XSS)) - version 7.5.52.7212

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin FV Flowplayer Video Player, afectando versiones hasta la 7.5.51.7212. Esta falla permite a usuarios autenticados con rol de Contribuidor o superior inyectar scripts maliciosos, lo que puede comprometer la seguridad de la instalación y la integridad de los datos.

Contexto técnico

La vulnerabilidad se encuentra en el shortcode 'video_player', que permite la inyección de código JavaScript malicioso. Los atacantes pueden aprovechar esta debilidad tras autenticarse en el sistema, afectando así a otros usuarios que visualicen el contenido manipulado.

Impacto potencial

El impacto de esta vulnerabilidad puede ser considerable, ya que permite la ejecución de scripts no autorizados en el navegador de otros usuarios, lo que podría llevar al robo de información sensible o a la manipulación de sesiones. Aunque la severidad se clasifica como media, el riesgo real depende del contexto de uso y de la exposición de la instalación.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad a través de la creación de contenido malicioso que se distribuye a otros usuarios autenticados, aprovechando su confianza en el sistema.

Mitigación recomendada

Actualizar el plugin FV Flowplayer Video Player a la versión 7.5.52.7212 o superior. Revisar y limpiar cualquier contenido potencialmente comprometido en el sitio. Implementar políticas de seguridad que limiten los privilegios de los usuarios, restringiendo el acceso a funciones críticas.

Señales de detección

Monitorear los logs de acceso para detectar patrones inusuales en la carga de contenido o en el uso del shortcode 'video_player'. También se deben revisar los cambios en los permisos de usuario y las interacciones sospechosas en el sitio.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 7.5.52.7212 del plugin FV Flowplayer Video Player. No se han confirmado casos en versiones posteriores.