Fuente base de datos: Wordfence Intelligence

Essential Addons for Elementor – Best Elementor Templates, Widgets, Kits & WooCommerce Builders <= 5.9.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via Data Table

PLUGIN MEDIUM CVE-2024-1537

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Essential Addons for Elementor, que afecta a las versiones hasta la 5.9.9. Esta vulnerabilidad permite a un atacante autenticado inyectar scripts maliciosos a través de una tabla de datos.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de las entradas en la funcionalidad de tablas de datos del plugin. Esto permite que un atacante con privilegios de contribuyente o superiores inyecte código JavaScript que se ejecutará en el navegador de otros usuarios, comprometiendo la seguridad de la aplicación.

Impacto potencial

El impacto potencial incluye la posibilidad de robo de información sensible, redirecciones maliciosas y la manipulación de sesiones de usuario. Esto puede afectar la confianza del usuario y la reputación del sitio web, además de posibles implicaciones legales en caso de exposición de datos.

Vector de explotación

Normalmente, la explotación se realiza mediante la creación de contenido malicioso que se envía a través de la interfaz de usuario del plugin, donde un atacante autenticado puede insertar scripts en las tablas de datos, que luego son ejecutados por otros usuarios que visualizan esa información.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Essential Addons for Elementor a la versión 5.9.10 o superior. Además, se sugiere revisar los permisos de los usuarios y limitar el acceso a funciones críticas del plugin.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en la interacción de los usuarios con el plugin, así como reportes de inyecciones de scripts o alertas de seguridad en los navegadores de los usuarios.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 5.9.10 del plugin Essential Addons for Elementor.