SKT Addons for Elementor <= 3.1 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin SKT Addons for Elementor, que afecta a las versiones anteriores a la 3.2. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos en el sitio web.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de las entradas de los usuarios, lo que permite que se almacenen scripts maliciosos en la base de datos. Estos scripts se ejecutan cuando otros usuarios acceden a las páginas afectadas, ampliando la superficie de ataque a cualquier visitante del sitio.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de scripts en el navegador de los usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad y otros ataques dirigidos. Esto podría dañar la reputación del negocio y la confianza de los usuarios.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad mediante la creación de contenido malicioso que es almacenado en el sitio. Una vez que el contenido es accesible, cualquier usuario que visite la página afectada puede verse comprometido.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin SKT Addons for Elementor a la versión 3.2 o superior. Además, es aconsejable revisar y sanitizar las entradas de los usuarios y aplicar políticas de seguridad de contenido (CSP) para limitar la ejecución de scripts no autorizados.

Señales de detección

Señales de riesgo pueden incluir la presencia de scripts no autorizados en las páginas del sitio, anomalías en el comportamiento del usuario y reportes de actividad sospechosa en los registros de acceso.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin SKT Addons for Elementor anteriores a la 3.2. Se recomienda a los administradores de sitios que utilicen este plugin que verifiquen su versión y actualicen si es necesario.