Elementor Addons by Livemesh <= 8.3.7 - Authenticated (Contributor+) Stored Cross-Site Scripting via Posts Grid

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Elementor Addons by Livemesh' en versiones hasta la 8.3.7. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos a través de la funcionalidad de Posts Grid.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja la entrada de datos en el componente de Posts Grid, permitiendo que se almacenen scripts maliciosos que luego se ejecutan en el navegador de otros usuarios. Esto puede comprometer la integridad de la aplicación y la seguridad de los datos de los usuarios.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a un acceso no autorizado a información sensible, así como a la manipulación de la experiencia del usuario en el sitio web, afectando la reputación y la confianza en la plataforma. La severidad se clasifica como media, con un CVSS de 6.4.

Vector de explotación

Generalmente, la explotación se lleva a cabo por un usuario autenticado que tiene permisos de contribuidor o superiores, que inserta código malicioso en el campo de entrada del Posts Grid, el cual es posteriormente visualizado por otros usuarios sin la debida validación.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin a la versión 8.4 o superior, donde la vulnerabilidad ha sido corregida. Además, se sugiere implementar medidas de validación y sanitización de entradas en el sitio web y revisar los permisos de los usuarios.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts no autorizados en el contenido de las publicaciones o comportamientos inusuales en la interacción del usuario con el sitio web. Monitorizar los logs de actividad de los usuarios puede ayudar a detectar accesos no autorizados.

Alcance afectado

Las versiones afectadas de este plugin van desde la 8.3.7 y anteriores. Se debe verificar la instalación de cualquier versión anterior a la 8.4 para evaluar el riesgo.