Fuente base de datos: Wordfence Intelligence

Essential Addons for Elementor – Best Elementor Templates, Widgets, Kits & WooCommerce Builders <= 5.9.15 - Authenticated (Contributor+) Stored Cross-Site Scripting

PLUGIN MEDIUM CVE-2024-4003

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS almacenado en el plugin Essential Addons for Elementor, que afecta a versiones anteriores a la 5.9.16. Este fallo permite a usuarios autenticados con rol de contribuyente o superior inyectar scripts maliciosos.

Contexto técnico

La vulnerabilidad se presenta como un Cross-Site Scripting (XSS) almacenado, lo que significa que un atacante puede inyectar código JavaScript que se almacena en el servidor y se ejecuta en el navegador de otros usuarios. La superficie de ataque se amplía a cualquier usuario que tenga permisos para contribuir, lo que incluye a los colaboradores del sitio.

Impacto potencial

El impacto potencial de esta vulnerabilidad es medio, con un CVSS de 6.4. Puede permitir a un atacante ejecutar scripts en el contexto de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad y manipulación del contenido del sitio.

Vector de explotación

La explotación de esta vulnerabilidad suele realizarse mediante la creación de contenido malicioso que se almacena en el plugin y se muestra a otros usuarios cuando visitan la página afectada. Esto requiere que el atacante tenga acceso como contribuyente o superior.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Essential Addons for Elementor a la versión 5.9.16 o superior. Además, se debe revisar y restringir los permisos de los usuarios que pueden contribuir al sitio.

Señales de detección

Señales de riesgo incluyen la aparición de scripts no autorizados en el contenido generado por usuarios, así como comportamientos sospechosos en la interacción de los usuarios con el sitio web.

Alcance afectado

Las versiones del plugin Essential Addons for Elementor anteriores a la 5.9.16 están afectadas, lo que incluye todas las instalaciones que no han sido actualizadas desde la publicación de esta vulnerabilidad.