Premium Addons for Elementor <= 4.10.36 - Authenticated (Contributor+) Stored Cross-Site Scripting via Countdown Widget

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Premium Addons for Elementor, que afecta a las versiones hasta la 4.10.36. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos a través del widget de cuenta atrás.

Contexto técnico

La vulnerabilidad se presenta como un XSS almacenado, lo que significa que el código malicioso se almacena en el servidor y se ejecuta en el navegador de otros usuarios que acceden a la misma página. El fallo se encuentra en el widget de cuenta atrás del plugin, lo que amplía la superficie de ataque a cualquier usuario que tenga acceso al panel de administración del sitio.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la ejecución de scripts no autorizados en el contexto del navegador de otros usuarios, comprometiendo la integridad de la información y la seguridad del sitio. Esto podría resultar en robo de datos, redirección a sitios maliciosos o incluso la toma de control de cuentas de usuario.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad creando contenido malicioso a través del widget de cuenta atrás, que luego es visualizado por otros usuarios. Dado que se requiere autenticación, el atacante debe tener al menos un rol de contribuidor en el sitio.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Premium Addons for Elementor a la versión 4.10.37 o superior. Además, se debe revisar y restringir los permisos de los usuarios, limitando el acceso a funciones críticas solo a aquellos que realmente lo necesitan.

Señales de detección

Se pueden detectar intentos de explotación observando comportamientos inusuales en el registro de actividad del sitio, como la creación de contenido que incluye scripts o etiquetas HTML inusuales, especialmente en el widget de cuenta atrás.

Alcance afectado

Las versiones del plugin Premium Addons for Elementor hasta la 4.10.36 están afectadas. Se recomienda a todos los usuarios del plugin que realicen la actualización a la versión corregida.