HT Mega – Absolute Addons For Elementor <= 2.5.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via Video Player Widget Settings

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin HT Mega – Absolute Addons For Elementor, que afecta a versiones anteriores a la 2.5.6. Esta vulnerabilidad permite la inyección de scripts maliciosos a través de la configuración del widget de reproductor de vídeo, afectando a usuarios autenticados con rol de contribuidor o superior.

Contexto técnico

El fallo se origina en la falta de validación adecuada de los datos introducidos en los ajustes del widget de reproductor de vídeo. Esto permite que un atacante con acceso autenticado pueda inyectar código JavaScript malicioso, que se ejecutará en el navegador de otros usuarios al visualizar la página afectada.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de los usuarios, permitiendo a un atacante robar información sensible, como cookies de sesión o credenciales. Además, puede afectar la reputación del sitio web y la confianza de los usuarios en la plataforma.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la modificación de los ajustes del widget de vídeo por parte de un usuario autenticado que tenga permisos de contribuidor o superiores. El código malicioso se ejecuta al cargar la página donde se encuentra el widget modificado.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin HT Mega – Absolute Addons For Elementor a la versión 2.5.6 o superior. Además, se sugiere revisar los permisos de los usuarios y aplicar políticas de seguridad que limiten el acceso a funciones críticas del sitio.

Señales de detección

Señales de posible explotación incluyen la aparición de comportamientos inusuales en el sitio web, como redirecciones no autorizadas o la ejecución de scripts no deseados en el navegador de los usuarios. También se deben monitorizar los registros de actividad de los usuarios para detectar cambios sospechosos en la configuración del plugin.

Alcance afectado

Las versiones del plugin HT Mega – Absolute Addons For Elementor anteriores a la 2.5.6 están afectadas. Es crucial que los administradores de sitios que utilicen este plugin verifiquen su versión y apliquen las actualizaciones necesarias.