Primary Addon for Elementor <= 1.6.0 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Primary Addon for Elementor, que afecta a las versiones hasta la 1.6.0. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuyente o superior inyectar scripts maliciosos.

Contexto técnico

La vulnerabilidad se manifiesta a través de una falta de validación adecuada de las entradas, lo que permite que se almacenen scripts maliciosos en el servidor y se ejecuten en el navegador de otros usuarios. Esto ocurre en el contexto del plugin, lo que amplía la superficie de ataque a cualquier sitio que lo utilice.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de scripts en el navegador de los usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad o redirección a sitios maliciosos. Esto puede afectar la reputación del negocio y la confianza de los usuarios.

Vector de explotación

Normalmente, la explotación se realiza mediante la creación de contenido malicioso por parte de un usuario autenticado que tiene permisos de contribuyente o superior. Este contenido se almacena y se presenta a otros usuarios, ejecutando el script en sus navegadores.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.6.2 o superior. Además, se debe revisar y sanitizar cualquier entrada de usuario que pueda ser manipulada, así como implementar políticas de seguridad adicionales como Content Security Policy (CSP).

Señales de detección

Señales de posible explotación incluyen la aparición de scripts inusuales en el contenido generado por usuarios, reportes de comportamiento extraño en la interfaz del usuario o alertas de seguridad que indiquen intentos de inyección de scripts.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Primary Addon for Elementor hasta la 1.6.0. Es crucial que los administradores de sitios que utilicen este plugin verifiquen su versión actual.