Prime Slider – Addons For Elementor (Revolution of a slider, Hero Slider, Ecommerce Slider) <= 3.14.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via Pacific Widget

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Prime Slider – Addons For Elementor, que afecta a las versiones hasta la 3.14.7. Esta vulnerabilidad permite a un atacante autenticado inyectar scripts maliciosos a través de un widget específico.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de los datos introducidos por el usuario en el Pacific Widget del plugin. Esto permite que un atacante con privilegios de contribuyente o superiores pueda almacenar código JavaScript malicioso, que se ejecutará en el navegador de otros usuarios que visualicen el contenido afectado.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante robar información sensible, realizar acciones no autorizadas en nombre de otros usuarios o redirigir a los usuarios a sitios maliciosos. Esto podría dañar la reputación del negocio y comprometer la seguridad de los datos de los usuarios.

Vector de explotación

La explotación se lleva a cabo mediante la creación de contenido que incluye el código malicioso, que luego es visualizado por otros usuarios. Esto requiere que el atacante tenga acceso a una cuenta con privilegios de contribuyente o superiores dentro del sitio web.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Prime Slider – Addons For Elementor a la versión 3.14.8 o superior. Además, se sugiere revisar los permisos de usuario y aplicar políticas de seguridad que limiten la capacidad de los usuarios a inyectar contenido potencialmente dañino.

Señales de detección

Se pueden detectar intentos de explotación mediante la monitorización de logs de actividad que muestren inyecciones de scripts en los widgets del plugin. También es recomendable implementar herramientas de seguridad que alerten sobre cambios no autorizados en el contenido del sitio.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Prime Slider – Addons For Elementor hasta la 3.14.7. Las instalaciones que no han sido actualizadas a la versión 3.14.8 están en riesgo.