Elementor Addon Elements <= 1.13.5 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Addon Elements for Elementor Page Builder' en versiones hasta la 1.13.5. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de la entrada del usuario, lo que permite la ejecución de código JavaScript no autorizado en el contexto de la aplicación. Esto se traduce en una superficie de ataque que afecta a las páginas donde se utilizan los elementos del plugin.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante inyectar scripts que podrían robar información sensible o manipular el contenido del sitio. Esto podría comprometer la confianza del usuario y afectar la reputación del negocio.

Vector de explotación

Normalmente, esta vulnerabilidad se explota mediante la creación de contenido malicioso que se presenta en el frontend del sitio, accesible a otros usuarios que visitan la página afectada.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.13.6 o superior. Además, es aconsejable revisar los permisos de los usuarios y limitar el acceso a funciones críticas del plugin.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts no autorizados en las páginas del sitio, así como reportes de comportamiento extraño por parte de usuarios autenticados.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.13.6 del plugin 'Addon Elements for Elementor Page Builder'.