Essential Addons for Elementor – Best Elementor Templates, Widgets, Kits & WooCommerce Builders <= 5.8.15 - Authenticated (Contributor+) Stored Cross-Site Scripting via Lightbox and Modal Widget

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Essential Addons for Elementor, que afecta a las versiones hasta la 5.8.15. Esta vulnerabilidad permite a un atacante autenticado inyectar scripts maliciosos a través de los widgets Lightbox y Modal.

Contexto técnico

El fallo se origina en la falta de validación adecuada de las entradas en los widgets Lightbox y Modal del plugin. Esto permite que un usuario con privilegios de contribuyente o superiores pueda introducir código JavaScript malicioso, que se ejecutará en el navegador de otros usuarios que visualicen el contenido afectado.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la integridad de los datos de los usuarios y permitir ataques de phishing o la manipulación de sesiones. Esto puede resultar en una pérdida de confianza por parte de los usuarios y daños a la reputación del negocio.

Vector de explotación

Generalmente, un atacante autenticado (con rol de contribuyente o superior) podría insertar código malicioso en los campos de entrada de los widgets afectados, lo que luego se ejecutaría en el navegador de otros usuarios al visualizar el contenido.

Mitigación recomendada

Se recomienda actualizar el plugin Essential Addons for Elementor a la versión 5.8.16 o superior. Además, es aconsejable implementar medidas de seguridad adicionales, como la validación de entradas y el uso de políticas de contenido seguro (CSP).

Señales de detección

Señales de explotación incluyen la aparición de comportamientos inusuales en los formularios de entrada de los widgets Lightbox y Modal, así como reportes de actividad sospechosa por parte de usuarios.

Alcance afectado

Las versiones del plugin Essential Addons for Elementor hasta la 5.8.15 están afectadas. La vulnerabilidad ha sido corregida en la versión 5.8.16.