HT Mega – Absolute Addons For Elementor <= 2.5.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Tooltip & Popover Widget

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin HT Mega – Absolute Addons para Elementor, que afecta a las versiones hasta 2.5.0. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuyente o superior ejecutar scripts maliciosos a través de widgets de tooltip y popover.

Contexto técnico

El fallo se presenta en la forma en que el plugin maneja la entrada de datos en los widgets de tooltip y popover. Un atacante autenticado puede inyectar código JavaScript, que se ejecutará en el navegador de otros usuarios que visualicen el contenido afectado. Esto representa una superficie de ataque que permite la ejecución de scripts no autorizados.

Impacto potencial

El impacto potencial de esta vulnerabilidad es medio, ya que permite a un atacante autenticado comprometer la seguridad de otros usuarios y robar información sensible o realizar acciones no autorizadas en su nombre. Esto puede llevar a la pérdida de confianza por parte de los usuarios y posibles consecuencias legales.

Vector de explotación

La explotación de esta vulnerabilidad suele llevarse a cabo por un usuario autenticado que utiliza los widgets vulnerables para insertar código malicioso, que luego se ejecuta en el contexto de otros usuarios que interactúan con la página web.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin HT Mega – Absolute Addons para Elementor a la versión 2.5.1 o superior. Además, se sugiere realizar una revisión de los permisos de los usuarios y limitar el acceso a funciones críticas sólo a los roles necesarios.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en la interacción de los usuarios con los widgets de tooltip y popover, así como la detección de scripts no autorizados en el contenido generado por el plugin.

Alcance afectado

Las versiones del plugin HT Mega – Absolute Addons para Elementor hasta la 2.5.0 están afectadas por esta vulnerabilidad. Es esencial verificar la versión instalada en todas las instalaciones del plugin.