Master Addons for Elementor <= 2.0.5.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via Pricing Table Widget

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Master Addons for Elementor, que afecta a las versiones hasta la 2.0.5.6. Esta falla permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través del widget de tabla de precios.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja la entrada del usuario en el widget de tabla de precios, permitiendo que se almacenen scripts maliciosos que se ejecutan en el navegador de otros usuarios. Esto representa un vector de ataque que puede ser explotado por usuarios con permisos adecuados.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante inyectar código JavaScript en el sitio, lo que podría llevar a la sustracción de información sensible, redirección a sitios maliciosos o incluso la manipulación del contenido del sitio web. Esto puede afectar la reputación del negocio y la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad generalmente implica que un atacante autenticado, como un colaborador, introduzca un script malicioso en el campo de entrada del widget de tabla de precios, que luego se almacena y se ejecuta en el contexto de otros usuarios que visualizan la página.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Master Addons for Elementor a la versión 2.0.5.7 o superior. Además, se sugiere revisar y sanitizar adecuadamente todas las entradas de usuario en el plugin, así como implementar políticas de control de acceso más estrictas para los roles de usuario.

Señales de detección

Las señales de riesgo pueden incluir la detección de scripts inusuales en las páginas generadas por el plugin, así como quejas de usuarios sobre comportamientos extraños o redirecciones no deseadas al navegar por el sitio.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.0.5.7 del plugin Master Addons for Elementor. Es importante verificar las instalaciones que utilizan este plugin para asegurar que están actualizadas.