The Plus Addons for Elementor <= 5.5.4 - Authenticated (Contibutor+) Stored Cross-Site Scripting via Hover Card

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'The Plus Addons for Elementor' en versiones hasta la 5.5.4. Esta vulnerabilidad permite la ejecución de scripts maliciosos a través de las tarjetas de información (Hover Card) para usuarios autenticados con rol de contribuidor o superior.

Contexto técnico

El fallo se produce debido a una falta de validación adecuada en los datos que se muestran en las tarjetas de información del plugin. Esto permite que un atacante inyecte código JavaScript malicioso que se ejecuta en el navegador de otros usuarios autenticados, comprometiendo así la integridad de la sesión del usuario.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto del navegador de otros usuarios. Esto podría llevar al robo de información sensible, como credenciales de acceso, y comprometer la seguridad general del sitio web.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la inyección de código malicioso en los campos de entrada que se muestran en las tarjetas de información, que son accesibles a otros usuarios autenticados. Un atacante podría engañar a un usuario para que interactúe con el contenido malicioso.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin 'The Plus Addons for Elementor' a la versión 5.5.5 o superior. Además, es aconsejable revisar y validar adecuadamente todos los datos que se muestran en el frontend para evitar inyecciones de scripts.

Señales de detección

Las señales de riesgo pueden incluir la aparición de comportamientos inusuales en el sitio, como redirecciones inesperadas o la ejecución de scripts no autorizados en la consola del navegador. También se puede monitorizar el tráfico para detectar patrones sospechosos.

Alcance afectado

Las versiones afectadas son aquellas hasta la 5.5.4 del plugin 'The Plus Addons for Elementor'. Las instalaciones que utilizan estas versiones están en riesgo y deben ser actualizadas.