Royal Elementor Addons and Template <= 1.7.1001 - Authenticated (Contributor+) DOM-Based Stored Cross-Site Scripting via Google Maps Widget

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS en el plugin Royal Elementor Addons y Template, que afecta a versiones hasta la 1.7.1001. Esta vulnerabilidad permite la ejecución de scripts maliciosos a través del widget de Google Maps, afectando a usuarios autenticados con rol de colaborador o superior.

Contexto técnico

La vulnerabilidad se manifiesta como un Cross-Site Scripting (XSS) almacenado, que permite a un atacante inyectar código JavaScript en el contexto del navegador de un usuario autenticado. Esto se produce a través de la manipulación del widget de Google Maps, lo que expone a los usuarios a ataques al acceder a contenido comprometido.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el navegador de otros usuarios, potencialmente robando información sensible o tomando el control de sesiones. Esto podría afectar la reputación del negocio y la confianza de los usuarios en la plataforma.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se lleva a cabo mediante la creación de contenido malicioso que se inyecta a través del widget de Google Maps. Un atacante podría engañar a un usuario autenticado para que interactúe con el contenido comprometido, desencadenando así la ejecución del script malicioso.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Royal Elementor Addons y Template a la versión 1.7.1002 o posterior. Además, se sugiere revisar y sanitizar adecuadamente las entradas de los usuarios y aplicar políticas de seguridad como Content Security Policy (CSP).

Señales de detección

Señales de posible explotación incluyen la aparición de comportamientos inusuales en el sitio, como redirecciones inesperadas o la inyección de contenido no autorizado en las páginas. También se pueden monitorizar logs de acceso en busca de patrones sospechosos relacionados con el uso del widget de Google Maps.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Royal Elementor Addons y Template hasta la 1.7.1001. Las instalaciones que no han actualizado a la versión 1.7.1002 están en riesgo.