Fuente base de datos: Wordfence Intelligence

Essential Addons for Elementor – Best Elementor Templates, Widgets, Kits & WooCommerce Builders <= 5.9.11 - Authenticated (Contributor+) Stored Cross-Site Scripting

PLUGIN MEDIUM CVE-2024-2650

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Essential Addons for Elementor, que afecta a versiones hasta la 5.9.11. Esta vulnerabilidad permite a un atacante autenticado inyectar scripts maliciosos en el sitio web.

Contexto técnico

La vulnerabilidad se presenta en el manejo de entradas de usuario en el plugin Essential Addons for Elementor, permitiendo que un atacante con privilegios de contribuidor o superiores inserte código JavaScript malicioso. Esto se traduce en un riesgo para los usuarios que visitan las páginas afectadas, ya que el código se ejecuta en el contexto del navegador del usuario.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante robar información sensible, realizar acciones no autorizadas en nombre de otros usuarios o redirigir a los visitantes a sitios maliciosos. Esto puede dañar la reputación del negocio y generar pérdidas económicas.

Vector de explotación

La explotación generalmente ocurre cuando un atacante autenticado utiliza un formulario o una función del plugin para inyectar código JavaScript. Este código se ejecuta cuando otros usuarios acceden a las páginas afectadas, generando así el ataque.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Essential Addons for Elementor a la versión 5.9.12 o superior. Además, se sugiere realizar una revisión de los permisos de usuario y aplicar medidas de seguridad adicionales, como la validación y el saneamiento de entradas.

Señales de detección

Se pueden detectar intentos de explotación observando comportamientos inusuales en los registros de acceso, como solicitudes que incluyen scripts en campos de entrada o cambios no autorizados en el contenido del sitio.

Alcance afectado

Las versiones del plugin Essential Addons for Elementor hasta la 5.9.11 están afectadas. Los usuarios que no hayan actualizado a la versión 5.9.12 corren el riesgo de ser vulnerables a esta explotación.