Firelight Lightbox <= 2.3.20 - Authenticated (Contributor+) Stored DOM Cross-Site Scripting via PDF beforeLoad 'href' Attribute en Easy Fancybox (Cross-Site Scripting (XSS)) - version 2.3.21

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS en el plugin Easy Fancybox, que permite la ejecución de scripts maliciosos a través del atributo 'href' en el evento beforeLoad. Esta falla puede comprometer la seguridad del sitio y la integridad de los datos del usuario.

Contexto técnico

La vulnerabilidad se presenta en versiones del plugin Easy Fancybox hasta la 2.3.20, afectando a usuarios autenticados con rol de contribuidor o superior. El vector de ataque se basa en la manipulación del atributo 'href' durante la carga de un PDF, lo que facilita la inyección de scripts maliciosos.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, permitiendo a un atacante ejecutar código JavaScript en el contexto del navegador de la víctima, lo que podría resultar en el robo de información sensible o la manipulación del contenido del sitio.

Vector de explotación

Los atacantes podrían aprovechar esta vulnerabilidad enviando un PDF manipulado a un usuario autenticado, que al abrirlo desencadenaría la ejecución de scripts maliciosos.

Mitigación recomendada

Actualizar el plugin Easy Fancybox a la versión 2.3.21 o superior. Revisar y limpiar cualquier entrada de datos que pueda haber sido comprometida. Implementar políticas de seguridad que limiten la ejecución de scripts no autorizados.

Señales de detección

Revisar los logs de acceso para detectar patrones inusuales en la carga de PDFs y monitorizar la ejecución de scripts en el frontend.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.3.21 del plugin Easy Fancybox. No se han confirmado otros escenarios de explotación fuera de este contexto.