Exclusive Addons for Elementor <= 2.6.9.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Button Widget

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Exclusive Addons for Elementor, que afecta a las versiones hasta la 2.6.9.3. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuyente o superior inyectar scripts maliciosos a través del widget de botón.

Contexto técnico

La vulnerabilidad se presenta en el widget de botón del plugin, permitiendo a un atacante autenticado insertar código JavaScript malicioso que se ejecuta en el navegador de otros usuarios. Esto se clasifica como un XSS almacenado, ya que el código se guarda en la base de datos y se ejecuta cuando otros usuarios acceden a la página afectada.

Impacto potencial

El impacto potencial incluye el robo de información sensible, la manipulación de sesiones de usuario y la posibilidad de redirigir a los usuarios a sitios maliciosos. Esto puede comprometer la integridad de la web y dañar la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad requiere que el atacante tenga acceso como usuario autenticado con rol de contribuyente o superior. Una vez dentro, puede crear o modificar un botón en el widget para incluir el script malicioso.

Mitigación recomendada

Actualizar el plugin Exclusive Addons for Elementor a la versión 2.6.9.4 o superior. Además, se recomienda revisar los permisos de usuario y aplicar prácticas de hardening en la gestión de roles y capacidades dentro de WordPress.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en la web, como redirecciones inesperadas o inyecciones de contenido no autorizado en las páginas. Monitorizar los logs de actividad de usuarios puede ayudar a identificar accesos no autorizados.

Alcance afectado

Las versiones del plugin Exclusive Addons for Elementor hasta la 2.6.9.3 están afectadas. Es crucial que los administradores de sitios que utilizan este plugin verifiquen su versión y realicen la actualización necesaria.