The Plus Addons for Elementor – Elementor Addons, Page Templates, Widgets, Mega Menu, WooCommerce <= 5.6.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Video Widget

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'The Plus Addons for Elementor'. Esta falla afecta a las versiones hasta la 5.6.2 y permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través del widget de vídeo.

Contexto técnico

La vulnerabilidad se presenta en el manejo de entradas en el widget de vídeo, donde no se realiza la adecuada validación y saneamiento de los datos introducidos por el usuario. Esto permite que un atacante inyecte código JavaScript que se ejecutará en el navegador de otros usuarios que visualicen la página afectada.

Impacto potencial

El impacto potencial de esta vulnerabilidad incluye el robo de información sensible, la manipulación de sesiones de usuario y la posibilidad de redirigir a los usuarios a sitios maliciosos. Esto puede dañar la reputación del negocio y comprometer la seguridad de los datos de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad suele realizarse mediante la creación de un contenido malicioso que se inserta a través del widget de vídeo, el cual es luego visualizado por otros usuarios, permitiendo así la ejecución del script inyectado.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 5.6.3 o superior. Además, se sugiere realizar una revisión de los permisos de los usuarios y aplicar medidas de hardening como la validación y el saneamiento de todas las entradas de usuario.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts no autorizados en el contenido de las páginas o la detección de comportamientos inusuales en las sesiones de usuario, como redirecciones inesperadas o cambios en el contenido visualizado.

Alcance afectado

Las versiones del plugin 'The Plus Addons for Elementor' hasta la 5.6.2 son las afectadas. Las instalaciones que utilicen versiones anteriores a la 5.6.3 deben ser consideradas en riesgo.