Jeg Elementor Kit <= 2.6.5 - Authenticated (Contributor+) Stored Cross-Site Scripting via JKit - Tabs and JKit - Accordion Widgets

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Jeg Elementor Kit, que afecta a versiones hasta la 2.6.5. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través de ciertos widgets del plugin.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de la entrada del usuario en los widgets 'Tabs' y 'Accordion' del plugin. Esto permite que un atacante que tenga acceso como colaborador pueda insertar código JavaScript malicioso en la página, afectando a otros usuarios que visualicen el contenido.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el navegador de otros usuarios, lo que podría resultar en el robo de información sensible o la manipulación de sesiones. Esto puede comprometer la integridad y la confianza en el sitio web afectado.

Vector de explotación

Generalmente, la explotación se lleva a cabo cuando un usuario autenticado, como un colaborador, utiliza los widgets vulnerables para insertar contenido, lo que resulta en la ejecución de scripts maliciosos cuando otros usuarios acceden a ese contenido.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Jeg Elementor Kit a la versión 2.6.6 o superior. Además, se sugiere revisar los permisos de los usuarios y aplicar políticas de seguridad que limiten el acceso a funciones críticas del sitio.

Señales de detección

Se pueden identificar señales de explotación mediante la monitorización de comportamientos inusuales en la interacción de usuarios autenticados con los widgets afectados, así como la detección de scripts no autorizados en el contenido generado por el plugin.

Alcance afectado

Las versiones del plugin Jeg Elementor Kit hasta la 2.6.5 son vulnerables. La versión 2.6.6 ha sido corregida y ya no presenta esta vulnerabilidad.