Premium Addons for Elementor <= 4.10.36 - Authenticated (Contributor+) Stored DOM-Based Cross-Site Scripting via Animated Text Widget

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Premium Addons for Elementor, que afecta a las versiones hasta la 4.10.36. Esta vulnerabilidad permite a usuarios autenticados con rol de Contributor+ ejecutar scripts maliciosos a través del widget de texto animado.

Contexto técnico

El fallo se origina en una gestión inadecuada de los datos de entrada en el widget de texto animado, lo que permite la inyección de código JavaScript en el DOM. Esto se considera un XSS almacenado, ya que el código malicioso se guarda y se puede ejecutar cuando otros usuarios acceden a la página afectada.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que un atacante podría ejecutar scripts en el navegador de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad o redirección a sitios maliciosos. Esto puede afectar la confianza de los usuarios y la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad generalmente implica que un atacante logre que un usuario autenticado con rol de Contributor+ introduzca un script malicioso en el widget de texto animado, el cual se almacenará y se ejecutará cuando otros usuarios visiten la página.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 4.10.37 o superior. Además, es aconsejable revisar y sanitizar adecuadamente todos los datos de entrada en los widgets y aplicar medidas de seguridad adicionales como la implementación de Content Security Policy (CSP).

Señales de detección

Señales de posible explotación incluyen comportamientos inusuales en el sitio, como cambios no autorizados en el contenido de las páginas o alertas de actividad sospechosa en los registros de acceso. También se debe prestar atención a la aparición de scripts no reconocidos en el código fuente de las páginas.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 4.10.37 del plugin Premium Addons for Elementor. Se recomienda a los administradores de sitios que utilicen este plugin que verifiquen su versión y apliquen la actualización correspondiente.