Elementor Addons by Livemesh <= 8.3.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via Posts Carousel Widget

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Elementor Addons by Livemesh' en versiones anteriores a la 8.3.6. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior ejecutar scripts maliciosos a través del widget de carrusel de publicaciones.

Contexto técnico

El fallo se origina en la falta de validación adecuada de la entrada de datos en el widget de carrusel de publicaciones. Esto permite que los atacantes inyecten código JavaScript malicioso que se ejecuta en el navegador de otros usuarios que visualizan el contenido afectado.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante robe información sensible, como cookies de sesión, o redirija a los usuarios a sitios web maliciosos. Esto puede comprometer la integridad del sitio y la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad se realiza mediante la creación de un post que contenga el código JavaScript malicioso. Un usuario autenticado con permisos adecuados puede publicar este contenido, lo que desencadena la ejecución del script en el navegador de otros usuarios.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin 'Elementor Addons by Livemesh' a la versión 8.3.6 o superior. Además, se debe realizar una revisión de los permisos de usuario y aplicar buenas prácticas de validación de entrada en todos los formularios del sitio.

Señales de detección

Las señales de posible explotación incluyen la aparición de comportamientos inusuales en el sitio web, como redirecciones no autorizadas o la ejecución de scripts en el navegador. También se deben monitorizar los logs de actividad para detectar publicaciones sospechosas.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 8.3.6 del plugin 'Elementor Addons by Livemesh'.