Elementor – Header, Footer & Blocks Template <= 1.6.35 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS almacenado en el plugin 'Elementor – Header, Footer & Blocks Template' en versiones anteriores a la 1.6.36. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuyente o superior inyectar código malicioso en el sitio.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja las entradas de los usuarios, permitiendo que un atacante que tenga acceso a una cuenta con permisos adecuados almacene scripts maliciosos. Esto se traduce en un riesgo de ejecución de código en el contexto del navegador de otros usuarios que visiten la página afectada.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la integridad del sitio, permitiendo la ejecución de scripts maliciosos que podrían robar información sensible, redirigir a los usuarios a sitios maliciosos o realizar acciones no autorizadas en nombre de los usuarios afectados.

Vector de explotación

Generalmente, el atacante necesita tener acceso a una cuenta con permisos de contribuyente o superior. Una vez autenticado, puede inyectar código JavaScript en campos que se almacenan y se muestran posteriormente en el sitio web, afectando a otros usuarios.

Mitigación recomendada

Actualizar el plugin 'Elementor – Header, Footer & Blocks Template' a la versión 1.6.36 o superior. Además, se recomienda revisar los permisos de usuario y aplicar prácticas de seguridad en la gestión de roles y capacidades dentro de WordPress.

Señales de detección

Señales de posible explotación incluyen cambios inesperados en el contenido del sitio, reportes de comportamientos extraños por parte de los usuarios y la aparición de scripts no autorizados en el código fuente de las páginas.

Alcance afectado

Las versiones del plugin anteriores a la 1.6.36 son susceptibles a esta vulnerabilidad. Se recomienda a todos los usuarios de este plugin verificar su versión actual.