Happy Addons for Elementor <= 3.10.4 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Happy Addons para Elementor, afectando a versiones hasta la 3.10.4. Esta falla permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos, comprometiendo la seguridad del sitio.

Contexto técnico

La vulnerabilidad se presenta en el componente Happy Addons para Elementor, específicamente en la gestión de entradas de usuarios. La superficie de ataque se activa cuando un usuario autenticado puede insertar contenido que no es debidamente sanitizado, permitiendo la ejecución de scripts en el navegador de otros usuarios.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de scripts maliciosos que podrían robar información sensible o manipular el contenido del sitio. Esto puede resultar en pérdida de confianza por parte de los usuarios y daños a la reputación del negocio.

Vector de explotación

La explotación se realiza cuando un usuario autenticado, con permisos de contribuidor o superior, inyecta un script en un campo de entrada que luego es mostrado sin la debida validación, afectando a otros usuarios que visualizan esa entrada.

Mitigación recomendada

Actualizar el plugin Happy Addons para Elementor a la versión 3.10.5 o superior. Revisar y sanitizar todas las entradas de usuario en el plugin para prevenir futuras inyecciones. Implementar medidas de seguridad adicionales, como Content Security Policy (CSP), para mitigar el riesgo de XSS.

Señales de detección

Monitorear los logs de acceso para detectar patrones inusuales de inyección de scripts y revisar la configuración del plugin para identificar entradas no sanitizadas.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.10.5 del plugin Happy Addons para Elementor. No se han confirmado otros escenarios fuera de esta versión.