ElementsReady Addons for Elementor <= 6.4.3 - Authenticated (Author+) Stored Cross-Site Scripting via SVG File Upload

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin ElementsReady Addons for Elementor, que afecta a las versiones hasta la 6.4.3. Esta vulnerabilidad permite la ejecución de scripts maliciosos a través de la carga de archivos SVG por usuarios autenticados con privilegios de autor o superiores.

Contexto técnico

El fallo se origina en la forma en que el plugin gestiona la carga de archivos SVG, lo que permite a un usuario autenticado inyectar código JavaScript malicioso. Este tipo de vulnerabilidad se clasifica como XSS almacenado, ya que el código malicioso se almacena en el servidor y se ejecuta cuando otros usuarios acceden al contenido afectado.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la seguridad del sitio web, permitiendo a un atacante robar información sensible de los usuarios, realizar acciones en su nombre o alterar la funcionalidad del sitio. Esto podría traducirse en daños a la reputación y pérdida de confianza por parte de los usuarios.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la carga de un archivo SVG malicioso por un usuario autenticado. Una vez que el archivo es procesado y almacenado, el código malicioso se ejecuta cuando otros usuarios acceden a la página que contiene el SVG.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 6.4.4 o superior. Además, se sugiere revisar las configuraciones de permisos de usuario y limitar la capacidad de carga de archivos a roles de usuario estrictamente necesarios.

Señales de detección

Señales de posible explotación incluyen la aparición de comportamientos inusuales en el sitio, como redirecciones inesperadas o la ejecución de scripts no autorizados. También se debe monitorizar la carga de archivos SVG por parte de usuarios autenticados.

Alcance afectado

Las versiones del plugin ElementsReady Addons for Elementor hasta la 6.4.3 se ven afectadas. La vulnerabilidad ha sido corregida en la versión 6.4.4, publicada el 15 de octubre de 2024.