Fuente base de datos: Wordfence Intelligence

Essential Addons for Elementor – Best Elementor Templates, Widgets, Kits & WooCommerce Builders <= 5.9.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via Event Calendar

PLUGIN HIGH CVE-2024-1536

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Essential Addons for Elementor, que afecta a versiones hasta la 5.9.9. Esta vulnerabilidad permite la inyección de scripts maliciosos a través del Event Calendar, lo que puede comprometer la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se presenta como un XSS almacenado que afecta a los usuarios autenticados con rol de contribuyente o superior. Esto significa que un atacante podría insertar código JavaScript malicioso en el Event Calendar, que luego se ejecutaría en el navegador de otros usuarios que visualicen la página afectada.

Impacto potencial

El impacto potencial incluye la posibilidad de robo de información sensible, como credenciales de usuario, así como la manipulación del contenido del sitio. Esto podría dañar la reputación del negocio y afectar la confianza de los usuarios en la plataforma.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad mediante la creación de eventos en el calendario que contienen scripts maliciosos. Una vez que otros usuarios acceden a estos eventos, el código se ejecuta en su navegador, permitiendo al atacante realizar acciones no autorizadas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Essential Addons for Elementor a la versión 5.9.10 o superior. Además, es aconsejable revisar y limpiar cualquier entrada de usuario en el Event Calendar que pueda contener código malicioso.

Señales de detección

Señales de riesgo incluyen la presencia de scripts inesperados en el Event Calendar y reportes de comportamientos extraños en la interacción de los usuarios con el sitio. También se deben monitorizar registros de actividad para detectar accesos no autorizados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 5.9.10 del plugin Essential Addons for Elementor, que se utiliza comúnmente en sitios construidos con Elementor.