Premium Addons for Elementor <= 4.10.21 - Authenticated (Contributor+) Stored Cross-Site Scripting via Banner, Team Members, and Image Scroll Widgets

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Premium Addons for Elementor, que afecta a las versiones hasta la 4.10.21. Esta falla permite a usuarios autenticados con permisos de contribuyente o superiores inyectar scripts maliciosos a través de ciertos widgets.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja la entrada de datos en los widgets de Banner, Miembros del equipo y Scroll de imágenes. Un atacante con permisos adecuados puede insertar código JavaScript malicioso que se ejecutará en el navegador de otros usuarios, comprometiendo así la seguridad de la aplicación.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad y otras acciones maliciosas que afectan la integridad y la confianza en el sitio web.

Vector de explotación

La explotación de esta vulnerabilidad se realiza mediante la inyección de scripts maliciosos en los campos de entrada de los widgets mencionados, los cuales son luego renderizados sin la debida sanitización. Esto requiere que el atacante tenga acceso como usuario autenticado con un rol de contribuyente o superior.

Mitigación recomendada

Para mitigar esta vulnerabilidad, es crucial actualizar el plugin Premium Addons for Elementor a la versión 4.10.22 o superior. Además, se recomienda revisar las configuraciones de permisos de usuario y aplicar prácticas de sanitización de entrada en el desarrollo de plugins personalizados.

Señales de detección

Se pueden detectar intentos de explotación observando comportamientos inusuales en los registros de acceso, como solicitudes que incluyen parámetros de entrada sospechosos en los widgets afectados. También se deben monitorizar cambios no autorizados en el contenido de los widgets.

Alcance afectado

Las versiones del plugin Premium Addons for Elementor desde su lanzamiento hasta la 4.10.21 son vulnerables. La versión 4.10.22 ha corregido esta falla.