Image Hover Effects – Elementor Addon <= 1.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'eihe_align'

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el complemento 'Image Hover Effects – Elementor Addon' en versiones anteriores a la 1.4.1. Esta falla permite la inyección de scripts maliciosos a través de un parámetro específico, afectando a usuarios autenticados con rol de contribuyente o superior.

Contexto técnico

La vulnerabilidad se origina en el manejo inadecuado de los datos introducidos por el usuario a través del parámetro 'eihe_align'. Esto permite a atacantes autenticados inyectar código JavaScript que se ejecuta en el navegador de otros usuarios, comprometiendo así la seguridad de la aplicación y la privacidad de los datos.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de otros usuarios, lo que podría resultar en el robo de información sensible, suplantación de identidad o redirección a sitios maliciosos. Además, puede afectar la confianza de los usuarios en la plataforma.

Vector de explotación

Normalmente, esta vulnerabilidad se explota mediante la creación de un contenido malicioso que incluye el código JavaScript en el campo 'eihe_align', el cual es luego visualizado por otros usuarios autenticados, ejecutando el script en sus navegadores.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el complemento a la versión 1.4.1 o superior. Además, se sugiere revisar los roles y permisos de los usuarios, limitando el acceso a funciones críticas y aplicando medidas de sanitización de entradas.

Señales de detección

Señales de posible explotación incluyen la aparición de comportamientos inusuales en el sitio, como redirecciones no autorizadas o scripts ejecutándose en el navegador de los usuarios. También se debe monitorizar el registro de actividades de los usuarios para detectar acciones sospechosas.

Alcance afectado

La vulnerabilidad afecta a todas las versiones del complemento 'Image Hover Effects – Elementor Addon' hasta la 1.4.1, lo que incluye todas las instalaciones que no han sido actualizadas tras la publicación de la corrección el 25 de marzo de 2024.