Premium Addons for Elementor <= 4.10.18 - Authenticated (Contributor+) Stored Cross-Site Scripting via onClick Events

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Premium Addons for Elementor, que afecta a las versiones hasta la 4.10.18. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través de eventos onClick.

Contexto técnico

El fallo se origina en la falta de validación adecuada de los datos de entrada en los eventos onClick, lo que permite la inyección de código JavaScript. Esto se considera un ataque de XSS almacenado, donde el script malicioso se guarda en la base de datos y se ejecuta cuando otros usuarios acceden a la página afectada.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante con permisos de colaborador ejecutar scripts en el navegador de otros usuarios, lo que podría resultar en robo de información sensible o manipulación de la sesión del usuario. Esto puede afectar la reputación de la empresa y la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad suele realizarse mediante la creación de contenido que incluya eventos onClick maliciosos, que luego son visualizados por otros usuarios, ejecutando así el código inyectado en sus navegadores.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 4.10.19 o superior. Además, se deben revisar los permisos de usuario y limitar el acceso a funciones críticas solo a usuarios de confianza. Implementar medidas de sanitización y validación de entradas también es esencial.

Señales de detección

Señales de riesgo incluyen la presencia de scripts inusuales en el contenido generado por usuarios con rol de colaborador, así como reportes de comportamiento extraño en la interacción de usuarios con el sitio web.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.10.19 del plugin Premium Addons for Elementor.