Multiple Plugins and Themes <= (Various Versions) - Authenticated (Contributor+) DOM-Based Stored Cross-Site Scripting via lightGallery JavaScript Library

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en múltiples plugins y temas que utilizan la biblioteca JavaScript lightGallery. Esta vulnerabilidad afecta a usuarios autenticados con rol de colaborador o superior y puede ser explotada para inyectar scripts maliciosos.

Contexto técnico

El fallo se origina en la forma en que se maneja el contenido en la biblioteca lightGallery, lo que permite a un atacante autenticado inyectar código JavaScript en el DOM. Esto puede ser aprovechado para ejecutar scripts en el navegador de otros usuarios que visualicen el contenido afectado.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de los usuarios al permitir que un atacante ejecute scripts maliciosos en sus navegadores, lo que podría resultar en robo de información, suplantación de identidad o redirección a sitios maliciosos. Además, puede dañar la reputación del negocio y afectar la confianza de los usuarios.

Vector de explotación

La vulnerabilidad se explota cuando un usuario autenticado (con rol de colaborador o superior) inserta contenido malicioso a través de formularios o editores que utilizan la biblioteca lightGallery, lo que resulta en la ejecución de scripts en el contexto de otros usuarios.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar los plugins y temas afectados a la versión 9.10.5 o superior. Además, es aconsejable revisar y sanitizar el contenido ingresado por los usuarios para prevenir la inyección de scripts maliciosos.

Señales de detección

Se deben monitorizar los logs de actividad de usuarios autenticados en busca de comportamientos inusuales, así como cualquier intento de inyección de scripts en formularios o campos de entrada que utilicen lightGallery.

Alcance afectado

La vulnerabilidad afecta a diversas versiones de múltiples plugins y temas que integran la biblioteca lightGallery, especialmente aquellos que permiten la interacción de usuarios con rol de colaborador o superior.