HT Mega – Absolute Addons For Elementor <= 2.4.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via Countdown Widget

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin HT Mega – Absolute Addons para Elementor, que afecta a las versiones hasta la 2.4.9. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior ejecutar scripts maliciosos a través del widget de cuenta atrás.

Contexto técnico

La vulnerabilidad se manifiesta en el widget de cuenta atrás del plugin, donde la entrada del usuario no es adecuadamente validada. Esto permite la inyección de código JavaScript, que puede ser ejecutado en el navegador de otros usuarios que visualicen la página afectada, comprometiendo así la seguridad de la aplicación.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante inyectar scripts que podrían robar información sensible, como cookies de sesión, o redirigir a los usuarios a sitios maliciosos. Esto puede dañar la reputación del sitio y afectar la confianza de los usuarios.

Vector de explotación

Normalmente, la explotación se lleva a cabo mediante la creación de contenido que incluye el código malicioso, el cual es luego publicado en el sitio. Los usuarios que acceden a este contenido ejecutan el script sin darse cuenta, lo que permite al atacante llevar a cabo acciones no autorizadas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin HT Mega – Absolute Addons a la versión 2.5.0 o superior. Además, es aconsejable revisar y validar todas las entradas de usuario en el sitio, así como implementar políticas de seguridad como Content Security Policy (CSP).

Señales de detección

Señales de posible explotación incluyen la detección de comportamientos inusuales en el registro de accesos, como la ejecución de scripts no autorizados o la creación de contenido sospechoso por parte de usuarios con permisos de colaborador.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.5.0 del plugin HT Mega – Absolute Addons para Elementor.