Premium Addons for Elementor <= 4.10.31 - Authenticated (Contributor+) DOM-Based Stored Cross-Site Scripting via Global Tooltip

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Premium Addons for Elementor, que afecta a las versiones hasta la 4.10.31. Esta vulnerabilidad permite la ejecución de scripts maliciosos mediante el uso de herramientas de tooltip global, lo que puede comprometer la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se origina en una mala validación de entradas en el componente de tooltip global del plugin. Esto permite que un atacante autenticado con privilegios de colaborador o superiores inyecte código JavaScript en el DOM, lo que puede ser ejecutado por otros usuarios del sitio.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto del navegador de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad o redirección a sitios maliciosos. Esto puede afectar la confianza de los usuarios y la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad generalmente requiere que un atacante tenga acceso como colaborador o un rol superior en el sitio. Una vez dentro, puede inyectar código malicioso a través de los tooltips, lo que se ejecutará en el navegador de otros usuarios que interactúen con el contenido afectado.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 4.10.32 o superior, donde se ha corregido el fallo. Además, se sugiere revisar los permisos de usuario y limitar el acceso a roles que realmente necesiten utilizar el plugin.

Señales de detección

Se pueden detectar intentos de explotación observando comportamientos inusuales en los logs de acceso, como la inyección de scripts en las entradas de los tooltips. También es recomendable monitorizar cambios no autorizados en el contenido del sitio.

Alcance afectado

Las versiones afectadas de Premium Addons for Elementor son todas las anteriores a la 4.10.32. Se debe tener en cuenta que la vulnerabilidad afecta a cualquier instalación que utilice estas versiones del plugin.