Happy Addons for Elementor <= 3.10.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via HTML Tags

Resumen ejecutivo

Se ha detectado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Happy Addons para Elementor, que afecta a las versiones hasta la 3.10.5. Este fallo permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través de etiquetas HTML.

Contexto técnico

La vulnerabilidad se produce debido a una falta de validación adecuada de las entradas de los usuarios en el plugin Happy Addons. Esto permite que los atacantes que tienen acceso a la plataforma (con rol de colaborador o superior) puedan insertar código JavaScript que se ejecutará en el navegador de otros usuarios que visiten la página afectada.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de scripts arbitrarios en el contexto del usuario afectado, lo que podría llevar al robo de información sensible, suplantación de identidad o redirección a sitios maliciosos. Esto no solo afecta la seguridad de los usuarios, sino que también puede dañar la reputación del negocio.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad al inyectar código malicioso en campos que aceptan entradas HTML, lo que se ejecuta cuando otros usuarios cargan la página afectada. Este tipo de ataque puede ser realizado por cualquier usuario autenticado con permisos adecuados.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Happy Addons para Elementor a la versión 3.10.6 o superior. Además, se sugiere revisar los permisos de los usuarios y aplicar prácticas de hardening, como la validación de entradas y la sanitización de datos en formularios.

Señales de detección

Las señales de posible explotación incluyen comportamientos inusuales en la carga de páginas, como la presencia de scripts no autorizados en el código fuente, o informes de usuarios sobre redirecciones inesperadas o comportamientos extraños en la interfaz.

Alcance afectado

Las versiones del plugin Happy Addons para Elementor hasta la 3.10.5 son vulnerables. La versión 3.10.6 ya incluye la solución a este problema.