SKT Addons for Elementor <= 1.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via Widget Page Title

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin SKT Addons for Elementor, que afecta a las versiones hasta la 1.8. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos a través del título de los widgets.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja los títulos de los widgets, permitiendo que se inserten scripts no sanitizados. Esto crea un vector de ataque que puede ser aprovechado por usuarios con permisos adecuados para modificar el contenido mostrado en el frontend.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la integridad del sitio, permitiendo a un atacante ejecutar scripts en el navegador de otros usuarios, lo que podría llevar a robo de información sensible o a la manipulación del contenido del sitio.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la modificación del título de un widget por un usuario autenticado que tenga permisos de contribuidor o superiores, lo que provoca que el script malicioso se ejecute cuando otros usuarios visualizan la página.

Mitigación recomendada

Actualizar el plugin SKT Addons for Elementor a la versión 1.9 o posterior. Además, se recomienda revisar los permisos de usuario y aplicar medidas de seguridad adicionales como la validación y sanitización de entradas en el frontend.

Señales de detección

Se pueden detectar signos de explotación a través de la monitorización de cambios no autorizados en los títulos de los widgets, así como la aparición de scripts inusuales en el código fuente de las páginas generadas por el plugin.

Alcance afectado

Las versiones del plugin SKT Addons for Elementor hasta la 1.8 son afectadas. Es importante verificar todas las instalaciones que utilicen este plugin para asegurar su actualización.