Enter Addons – Ultimate Template Builder for Elementor <= 2.1.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via Animation Title widget img tag

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Enter Addons para Elementor, que afecta a las versiones hasta la 2.1.5. Esta falla permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través del widget de título de animación.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja el contenido del atributo 'img' en el widget de título de animación. Al no validar correctamente la entrada del usuario, se permite la ejecución de código JavaScript en el contexto del navegador de otros usuarios, lo que puede comprometer la seguridad del sitio.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante inyectar scripts que podrían robar información sensible, realizar acciones no autorizadas en nombre de otros usuarios o redirigir a los visitantes a sitios maliciosos. Esto puede afectar la reputación del sitio y la confianza de los usuarios.

Vector de explotación

Generalmente, esta vulnerabilidad se explota mediante la creación de un contenido malicioso en el widget de título de animación, que luego es visualizado por otros usuarios. Los atacantes pueden aprovecharse de permisos de usuario elevados para inyectar el script.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Enter Addons a la versión 2.1.6 o superior. Además, se sugiere revisar los roles y permisos de los usuarios en el sitio, limitando el acceso a funciones críticas solo a usuarios de confianza.

Señales de detección

Se pueden observar señales de explotación a través de registros de actividad inusuales, como la creación de contenido no autorizado en el widget de título de animación o la ejecución de scripts en el navegador de los usuarios.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.1.6 del plugin Enter Addons, lo que incluye versiones desde su lanzamiento hasta la 2.1.5.