The Plus Addons for Elementor – Elementor Addons, Page Templates, Widgets, Mega Menu, WooCommerce <= 6.0.3 - Authenticated (Contributor+) Sensitive Information Exposure via Elementor Templates

Resumen ejecutivo

Se ha identificado una vulnerabilidad de exposición de información sensible en el plugin 'The Plus Addons for Elementor', que afecta a las versiones hasta la 6.0.3. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuidor o superior acceder a información sensible a través de plantillas de Elementor.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin gestiona las plantillas de Elementor, permitiendo que usuarios con privilegios limitados accedan a datos que deberían estar protegidos. Esto se clasifica como una exposición de información sensible, que puede ser explotada por atacantes con acceso al panel de administración.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer datos sensibles, afectando la integridad y la confidencialidad de la información del sitio. Esto puede llevar a problemas de reputación y a la pérdida de confianza por parte de los usuarios, así como posibles implicaciones legales.

Vector de explotación

Los atacantes pueden aprovechar esta vulnerabilidad accediendo al panel de administración con un usuario autenticado que tenga permisos de contribuidor o superiores, y luego intentar acceder a las plantillas de Elementor para extraer información sensible.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin 'The Plus Addons for Elementor' a la versión 6.0.4 o superior. Además, se sugiere revisar los permisos de los usuarios y aplicar principios de menor privilegio en la gestión de accesos.

Señales de detección

Señales de posible explotación incluyen accesos inusuales a las plantillas de Elementor por usuarios con permisos limitados, así como intentos de acceder a información sensible desde cuentas de contribuidor.

Alcance afectado

Las versiones del plugin 'The Plus Addons for Elementor' hasta la 6.0.3 están afectadas. Los sitios que utilicen este plugin en versiones anteriores a la 6.0.4 son vulnerables.