Master Addons – Free Widgets, Hover Effects, Toggle, Conditions, Animations for Elementor <= 2.0.6.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via data-jltma-wrapper-link Element

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Master Addons para Elementor, afectando a las versiones hasta la 2.0.6.4. Esta vulnerabilidad permite la inyección de scripts maliciosos mediante un elemento específico del plugin.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja el elemento 'data-jltma-wrapper-link', permitiendo a un usuario autenticado con permisos de contribuidor o superiores inyectar código JavaScript. Esto representa una superficie de ataque que podría ser aprovechada por atacantes para ejecutar scripts en el contexto del navegador de otros usuarios.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar código arbitrario en el navegador de otros usuarios, lo que podría llevar al robo de información sensible o a la manipulación de sesiones. Esto podría afectar la confianza de los usuarios y la integridad del sitio web.

Vector de explotación

La explotación de esta vulnerabilidad generalmente requiere que el atacante tenga acceso como usuario autenticado con permisos de contribuidor o superiores, lo que limita el alcance de la explotación a usuarios que ya tienen acceso al panel de administración del sitio.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar a la versión 2.0.6.5 del plugin Master Addons. Además, se sugiere revisar los permisos de los usuarios y limitar el acceso a funciones críticas del sitio.

Señales de detección

Se pueden observar señales de riesgo al detectar comportamientos inusuales en el sitio, como la inyección de scripts en las páginas generadas por el plugin o reportes de usuarios sobre comportamientos extraños al interactuar con el contenido del sitio.

Alcance afectado

Las versiones afectadas de este plugin son todas las versiones hasta la 2.0.6.4. Los usuarios que no han actualizado a la versión 2.0.6.5 están en riesgo.