Essential Addons for Elementor PRO – Best Elementor Templates, Widgets, Kits & WooCommerce Builders <= 5.8.14 - Authenticated (Contributor+) Stored Cross-Site Scripting via Team Member Carousel Widget

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS almacenado en el plugin Essential Addons for Elementor PRO, que afecta a versiones hasta la 5.8.14. Esta vulnerabilidad permite a usuarios autenticados con permisos de contribuyente o superiores inyectar scripts maliciosos a través del widget de carrusel de miembros del equipo.

Contexto técnico

La vulnerabilidad se origina en el manejo inadecuado de datos en el widget de carrusel de miembros del equipo, lo que permite que se almacenen y ejecuten scripts maliciosos en el navegador de otros usuarios. Esto se produce cuando un atacante con privilegios de contribuyente introduce código en los campos de entrada, que posteriormente es mostrado sin la adecuada sanitización.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad o manipulación de la sesión del usuario. Esto podría dañar la reputación de la organización y comprometer la seguridad de los datos.

Vector de explotación

La explotación de esta vulnerabilidad generalmente implica que un atacante autenticado introduce código malicioso en los campos de entrada del widget afectado. Cuando otros usuarios visitan la página que incluye este widget, el script se ejecuta en su navegador.

Mitigación recomendada

Para mitigar esta vulnerabilidad, es crucial actualizar el plugin Essential Addons for Elementor PRO a la versión 5.8.15 o superior. Además, se recomienda revisar y sanitizar adecuadamente todos los campos de entrada en el backend para prevenir inyecciones de scripts.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en la interfaz de usuario, como cambios no autorizados en el contenido del sitio, o reportes de usuarios que experimentan redirecciones inesperadas o mensajes de alerta en sus navegadores.

Alcance afectado

Las versiones del plugin Essential Addons for Elementor PRO hasta la 5.8.14 están afectadas. Es importante verificar si se utilizan estas versiones en las instalaciones de WordPress.