Exclusive Addons for Elementor <= 2.6.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via Countdown Timer Widget

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Exclusive Addons for Elementor, que afecta a versiones anteriores a la 2.6.9. Este fallo permite la ejecución de scripts maliciosos en el contexto de usuarios autenticados con rol de contribuidor o superior.

Contexto técnico

La vulnerabilidad se encuentra en el widget del temporizador de cuenta atrás, donde se permite la inyección de código JavaScript sin la debida validación. Esto crea una superficie de ataque que puede ser aprovechada por usuarios maliciosos que tengan acceso a la administración del sitio.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el navegador de otros usuarios autenticados, lo que podría llevar al robo de información sensible o a la manipulación del contenido del sitio web. Esto puede afectar la confianza de los usuarios y la reputación del negocio.

Vector de explotación

Normalmente, la explotación de esta vulnerabilidad se realiza mediante la inyección de scripts a través del widget afectado, lo que permite que el código se ejecute en el navegador de otros usuarios que visiten la página donde se ha implementado el widget comprometido.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Exclusive Addons for Elementor a la versión 2.6.9.1 o superior. Además, es aconsejable revisar y restringir los permisos de los usuarios que pueden acceder a la funcionalidad del widget afectado.

Señales de detección

Señales de posible explotación incluyen la presencia de scripts inusuales en las entradas del temporizador de cuenta atrás, así como comportamientos anómalos en la interacción de usuarios autenticados con el sitio.

Alcance afectado

Las versiones del plugin Exclusive Addons for Elementor anteriores a la 2.6.9 están afectadas por esta vulnerabilidad. Es fundamental verificar la versión instalada en todos los sitios que utilicen este plugin.