Elementor Website Builder – More than Just a Page Builder <= 3.25.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via Typography Settings

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS almacenado en el plugin Elementor Website Builder, que afecta a versiones hasta la 3.25.9. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior ejecutar scripts maliciosos a través de la configuración de tipografía.

Contexto técnico

La vulnerabilidad se origina en la forma en que Elementor gestiona las configuraciones de tipografía, permitiendo que un atacante inserte código JavaScript malicioso que se almacena y se ejecuta en el navegador de otros usuarios. La superficie de ataque se amplía a cualquier usuario autenticado con permisos adecuados que pueda modificar estas configuraciones.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de scripts en el contexto del navegador de otros usuarios, lo que podría llevar a robo de información sensible, phishing o manipulación de contenido. Esto podría dañar la reputación de la organización y comprometer la seguridad de los datos.

Vector de explotación

La explotación de esta vulnerabilidad se realiza mediante la modificación de las configuraciones de tipografía en Elementor por parte de un usuario autenticado con permisos adecuados, inyectando código JavaScript malicioso que se ejecutará posteriormente para otros usuarios que visiten la página afectada.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Elementor a la versión 3.25.10 o superior. Además, se sugiere revisar los permisos de los usuarios y limitar el acceso a configuraciones críticas solo a administradores.

Señales de detección

Las señales de detección incluyen la monitorización de cambios inusuales en las configuraciones de tipografía del plugin y la identificación de scripts no autorizados en las páginas generadas por Elementor.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 3.25.10 del plugin Elementor Website Builder. Esto incluye versiones desde su lanzamiento hasta la 3.25.9.