Elementor Addons by Livemesh <= 8.3.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via Display Name

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Elementor Addons by Livemesh' en versiones hasta la 8.3.6. Esta falla permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través del nombre de visualización.

Contexto técnico

La vulnerabilidad se presenta debido a la falta de validación adecuada de los datos introducidos por los usuarios en el campo del nombre de visualización. Esto permite que un atacante que tenga acceso con un rol de colaborador o superior pueda insertar scripts que se ejecuten en el navegador de otros usuarios cuando visualicen el contenido afectado.

Impacto potencial

El impacto potencial de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar código JavaScript en el contexto del navegador de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad o redirección a sitios maliciosos. Esto podría afectar la reputación del negocio y la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza mediante la creación o modificación de un nombre de visualización que contenga código JavaScript. Una vez que se guarda este nombre, otros usuarios que visualicen el contenido afectado ejecutarán el script malicioso sin su conocimiento.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin 'Elementor Addons by Livemesh' a la versión 8.3.7 o superior. Además, se debe revisar y sanitizar adecuadamente cualquier entrada de usuario que se muestre en el frontend, especialmente en campos que aceptan nombres o descripciones.

Señales de detección

Se pueden detectar señales de explotación mediante la monitorización de entradas inusuales en los nombres de visualización, así como la aparición de comportamientos extraños en los navegadores de los usuarios, como redirecciones inesperadas o alertas de seguridad del navegador.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 8.3.7 del plugin 'Elementor Addons by Livemesh'.