Essential Addons for Elementor -- Best Elementor Templates, Widgets, Kits & WooCommerce Builders <= 6.0.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Fancy Text Widget

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Essential Addons for Elementor, que afecta a versiones hasta la 6.0.3. Esta vulnerabilidad permite la inyección de scripts maliciosos a través del widget de texto elegante, lo que puede comprometer la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se presenta como un XSS almacenado que requiere autenticación de usuario con permisos de contribuyente o superiores. Esto significa que un atacante podría inyectar código JavaScript a través del widget de texto elegante, el cual se ejecutaría en el navegador de otros usuarios que visiten la página afectada.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante robe información sensible, como cookies de sesión, o redirija a los usuarios a sitios maliciosos. Esto podría afectar la reputación del negocio y la confianza de los usuarios, además de posibles implicaciones legales en caso de fuga de datos.

Vector de explotación

La explotación de esta vulnerabilidad se realiza mediante la creación de contenido que incluya scripts maliciosos utilizando el widget afectado, que luego se almacena y se muestra a otros usuarios sin la debida sanitización.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Essential Addons for Elementor a la versión 6.0.4 o superior. Además, se sugiere revisar las configuraciones de permisos de usuario y aplicar medidas de seguridad adicionales, como la validación de entradas y el uso de herramientas de seguridad web.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos extraños en el sitio web, como redirecciones inesperadas o la ejecución de scripts no autorizados. También se deben monitorizar los registros de actividad de los usuarios con permisos de contribuyente y superiores.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Essential Addons for Elementor hasta la 6.0.3. Se recomienda verificar la instalación en todos los sitios que utilicen este plugin.