ShortPixel Adaptive Images – WebP, AVIF, CDN, Image Optimization <= 3.11.3 - Authenticated (Subscriber+) Stored Cross-Site Scripting (Cross-Site Scripting (XSS)) - version 3.11.4

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin ShortPixel Adaptive Images, que afecta a versiones hasta la 3.11.3. Esta falla permite a usuarios autenticados inyectar scripts maliciosos, lo que puede comprometer la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se presenta en la funcionalidad del plugin, permitiendo a usuarios con rol de suscriptor o superior inyectar código JavaScript malicioso en el contenido. La exposición ocurre cuando se procesan entradas no sanitizadas en el sistema, facilitando el ataque.

Impacto potencial

El riesgo principal radica en la posibilidad de que atacantes autenticados ejecuten scripts en el navegador de otros usuarios, lo que podría llevar al robo de información sensible o a la manipulación del contenido del sitio. Esto afecta la confianza del usuario y la integridad del negocio.

Vector de explotación

El ataque se lleva a cabo mediante la inyección de scripts en campos de entrada del plugin, que luego son procesados y mostrados sin la debida validación.

Mitigación recomendada

Actualizar el plugin ShortPixel Adaptive Images a la versión 3.11.4 o superior. Revisar y sanitizar todas las entradas de usuario en el sistema. Implementar medidas de seguridad adicionales, como Content Security Policy (CSP) para mitigar el riesgo de XSS.

Señales de detección

Revisar los logs de acceso para detectar patrones inusuales de actividad de usuarios autenticados y buscar entradas que contengan scripts en campos de datos.

Alcance afectado

Las versiones del plugin ShortPixel Adaptive Images hasta la 3.11.3 están afectadas. No se han confirmado casos de explotación en versiones superiores a la 3.11.4.