Exclusive Addons for Elementor <= 2.6.9.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via InfoBox

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Exclusive Addons for Elementor en versiones hasta 2.6.9.2. Esta falla permite a usuarios autenticados con rol de contribuyente o superior inyectar scripts maliciosos a través de InfoBox.

Contexto técnico

La vulnerabilidad se manifiesta como un XSS almacenado, lo que significa que los scripts maliciosos pueden ser almacenados en la base de datos y ejecutarse cuando otros usuarios acceden a la información comprometida. Esto afecta a la forma en que el plugin maneja la entrada de datos en el componente InfoBox.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante inyectar código JavaScript que podría robar información sensible de los usuarios, realizar acciones no autorizadas en su nombre o redirigir a los usuarios a sitios maliciosos. Esto puede comprometer la integridad y la confianza en el sitio web.

Vector de explotación

Normalmente, esta vulnerabilidad se explota cuando un usuario autenticado, como un contribuyente, introduce un script malicioso en un campo de entrada del InfoBox. Posteriormente, otros usuarios que visualizan esa información pueden ejecutar el script sin saberlo.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Exclusive Addons for Elementor a la versión 2.6.9.3 o superior. Además, se debe revisar y sanitizar adecuadamente todas las entradas de usuario en el sistema para prevenir futuras inyecciones de código.

Señales de detección

Señales que pueden indicar un posible riesgo incluyen la aparición de comportamientos inusuales en el sitio, como redirecciones no autorizadas o la ejecución de scripts en el navegador de los usuarios. También se debe prestar atención a los registros de actividad de usuarios con permisos de contribuyente.

Alcance afectado

Las versiones afectadas de este plugin son todas las versiones hasta la 2.6.9.2. Se recomienda a todos los usuarios que utilicen este plugin que verifiquen su versión y apliquen la actualización necesaria.