Premium Addons for Elementor <= 4.10.31 - Authenticated (Contributor+) Stored Cross-Site Scripting via Menu and Shape Divider

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Premium Addons for Elementor, que afecta a las versiones hasta la 4.10.31. Este fallo permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos a través de menús y divisores de forma.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja la entrada de datos en sus componentes de menú y divisores. Al no validar adecuadamente esta entrada, un atacante podría insertar código JavaScript que se ejecutaría en el navegador de otros usuarios, comprometiendo así la seguridad del sitio.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de scripts maliciosos en el contexto de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad y otros ataques dirigidos. Esto podría afectar la reputación del negocio y la confianza de los usuarios.

Vector de explotación

Normalmente, la explotación de esta vulnerabilidad se realiza mediante la creación de contenido malicioso que es publicado en el sitio por un usuario autenticado. Posteriormente, otros usuarios que visiten dicha página podrían ejecutar el código malicioso sin su conocimiento.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 4.10.32 o superior. Además, se sugiere implementar medidas de validación y sanitización de entrada en todos los puntos donde se manejen datos de usuario, y revisar los permisos de los roles de usuario en el sitio.

Señales de detección

Se pueden detectar intentos de explotación observando comportamientos inusuales en los registros de acceso, como la aparición de scripts no autorizados en el contenido generado por usuarios autenticados. También es importante monitorizar cambios inesperados en los menús y divisores del plugin.

Alcance afectado

Las versiones del plugin Premium Addons for Elementor hasta la 4.10.31 son susceptibles a esta vulnerabilidad. Se debe verificar la versión instalada en todos los sitios que utilicen este plugin.