Master Addons – Free Widgets, Hover Effects, Toggle, Conditions, Animations for Elementor <= 2.0.6.1 - Missing Authorization to Unauthenticated Stored Cross-Site Scripting via Navigation Menu Widget

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin Master Addons para Elementor que permite la ejecución de scripts maliciosos a través de un ataque de Cross-Site Scripting (XSS) sin necesidad de autenticación. Esta vulnerabilidad afecta a las versiones anteriores a la 2.0.6.2.

Contexto técnico

El fallo se origina en la falta de autorización en el widget del menú de navegación, lo que permite a un atacante inyectar scripts maliciosos en la página. Esto se traduce en que cualquier usuario no autenticado puede manipular el contenido de la página, afectando la integridad del sitio.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad del sitio web, permitiendo a los atacantes robar información sensible de los usuarios, realizar phishing o redirigir a los visitantes a sitios maliciosos. Esto podría resultar en daños a la reputación y pérdidas económicas para el negocio.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes manipuladas que incluyen scripts maliciosos a través del widget del menú de navegación, lo que permite la ejecución del código en el navegador de los usuarios que visitan el sitio.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Master Addons a la versión 2.0.6.2 o superior. Además, es aconsejable revisar los permisos de acceso y aplicar medidas de seguridad adicionales como un firewall y un escáner de vulnerabilidades.

Señales de detección

Se pueden identificar intentos de explotación a través de logs de acceso que muestren patrones inusuales en las solicitudes al menú de navegación, así como comportamientos anómalos en el sitio web tras la interacción de usuarios no autenticados.

Alcance afectado

Las versiones del plugin Master Addons para Elementor anteriores a la 2.0.6.2 están afectadas por esta vulnerabilidad. Es importante verificar la versión instalada en cada sitio que utilice este plugin.