Essential Addons For Elementor <=5.8.1 - Unauthenticated MailChimp API Key Disclosure

Resumen ejecutivo

Se ha identificado una vulnerabilidad en el plugin Essential Addons For Elementor en versiones hasta la 5.8.1, que permite la divulgación no autenticada de claves API de MailChimp. Esta vulnerabilidad tiene una severidad media y afecta a la seguridad de las instalaciones que utilizan este plugin.

Contexto técnico

El fallo se presenta como un bypass de autenticación, lo que significa que un atacante puede acceder a información sensible sin necesidad de autenticarse. En este caso, se expone la clave API de MailChimp, lo que puede permitir a un atacante realizar acciones no autorizadas en la cuenta de MailChimp asociada.

Impacto potencial

La divulgación de la clave API puede resultar en la manipulación de campañas de marketing, acceso a datos de usuarios y potencialmente en el uso indebido de recursos de MailChimp, lo que podría comprometer tanto la seguridad de los datos como la reputación de la empresa afectada.

Vector de explotación

La explotación de esta vulnerabilidad se puede realizar mediante solicitudes HTTP específicamente diseñadas que no requieren autenticación, permitiendo al atacante recuperar la clave API de MailChimp expuesta.

Mitigación recomendada

Actualizar el plugin Essential Addons For Elementor a la versión 5.8.2 o superior. Además, se recomienda revisar las configuraciones de seguridad y limitar el acceso a las claves API en las integraciones de terceros.

Señales de detección

Señales de riesgo incluyen registros de acceso inusuales a la API de MailChimp y la aparición de solicitudes no autenticadas que intentan acceder a información sensible del plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 5.8.2 del plugin Essential Addons For Elementor.