Elementor Addons, Widgets and Enhancements – Stax <= 1.4.4.1 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Stax Addons for Elementor, que afecta a versiones hasta la 1.4.4.1. Este fallo permite a usuarios autenticados con rol de contribuyente o superior inyectar scripts maliciosos.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja la entrada de datos, permitiendo que se almacenen scripts en el sistema. Esto puede ser aprovechado por un atacante que tenga acceso al panel de administración con un rol adecuado, facilitando la ejecución de código en el navegador de otros usuarios.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de scripts en el contexto de otros usuarios, lo que podría resultar en el robo de información sensible, redirecciones a sitios maliciosos o la manipulación de la interfaz de usuario.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la creación de contenido malicioso que se almacena en el sistema y se muestra a otros usuarios, aprovechando la falta de validación y sanitización de la entrada de datos por parte del plugin.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Stax Addons for Elementor a la versión 1.4.4.1 o superior. Además, se sugiere revisar y sanitizar adecuadamente todas las entradas de datos en el sistema.

Señales de detección

Se pueden identificar señales de explotación mediante la monitorización de actividades inusuales en el panel de administración, así como la detección de scripts no autorizados en las páginas generadas por el plugin.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.4.4.1 del plugin Stax Addons for Elementor.