Elementor Addon Elements <= 1.12.10 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Addon Elements for Elementor Page Builder' en versiones hasta la 1.12.10. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuyente o superior inyectar scripts maliciosos.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja la entrada de datos de los usuarios. Al no sanitizar adecuadamente la información, se permite la ejecución de scripts en el navegador de otros usuarios que visitan la página afectada, lo que expone a los visitantes a ataques XSS.

Impacto potencial

El impacto potencial de esta vulnerabilidad puede ser significativo, ya que permite a un atacante inyectar código malicioso que podría robar información sensible o realizar acciones no autorizadas en nombre de los usuarios. Esto podría comprometer la integridad del sitio y la confianza de los usuarios.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad mediante la creación de contenido malicioso que es enviado a otros usuarios. Esto se puede realizar a través de formularios o campos de entrada que no validan correctamente la entrada del usuario.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.12.11 o superior. Además, se debe revisar la configuración de seguridad del sitio y considerar la implementación de medidas de sanitización y validación de entrada más estrictas.

Señales de detección

Se pueden detectar señales de explotación a través de comportamientos inusuales en la interacción de usuarios con el sitio, como la aparición de scripts no autorizados o cambios inesperados en el contenido de las páginas.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin 'Addon Elements for Elementor Page Builder' hasta la 1.12.10. Las instalaciones que no han sido actualizadas están en riesgo.