Magical Addons For Elementor <= 1.1.41 - Authenticated (Subscriber+) Server-Side Request Forgery

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Server-Side Request Forgery (SSRF) en el plugin 'Magical Addons For Elementor' en versiones hasta la 1.1.41. Esta vulnerabilidad puede ser explotada por usuarios autenticados con rol de suscriptor o superior.

Contexto técnico

La vulnerabilidad permite a un atacante autenticado enviar solicitudes desde el servidor a otros recursos internos o externos, potencialmente exponiendo información sensible o permitiendo la ejecución de acciones no autorizadas.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante obtener acceso a información que debería estar protegida, lo que podría comprometer la seguridad del sitio y la privacidad de los datos de los usuarios.

Vector de explotación

La explotación suele realizarse mediante la manipulación de parámetros en las solicitudes realizadas por el plugin, lo que permite al atacante redirigir las solicitudes a recursos no autorizados.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin 'Magical Addons For Elementor' a la versión 1.1.42 o superior. Además, se sugiere revisar las configuraciones de acceso y limitar los permisos de los usuarios autenticados.

Señales de detección

Señales de posible explotación incluyen registros de solicitudes inusuales desde el servidor hacia direcciones IP internas o externas que no deberían ser accesibles por usuarios con rol de suscriptor.

Alcance afectado

Las versiones afectadas son todas las versiones hasta la 1.1.41 del plugin 'Magical Addons For Elementor'.