Exclusive Addons for Elementor <= 2.7.6 - Authenticated (Contributor+) Stored Cross-Site Scripting via Animated Text and Image Comparison Widgets

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Exclusive Addons for Elementor, que afecta a las versiones anteriores a la 2.7.7. Esta falla permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través de ciertos widgets.

Contexto técnico

La vulnerabilidad se manifiesta en los widgets de Texto Animado y Comparación de Imágenes, donde se permite la inserción de contenido no validado. Esto posibilita que un atacante inyecte código JavaScript que se ejecutará en el navegador de otros usuarios, comprometiendo la integridad de la aplicación.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de otros usuarios, lo que podría resultar en el robo de datos sensibles, suplantación de identidad o redirecciones a sitios maliciosos. Esto puede afectar la reputación del negocio y la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad generalmente requiere que el atacante tenga acceso a una cuenta de usuario con privilegios de colaborador o superiores. A través de la inyección de contenido en los widgets afectados, el atacante puede ejecutar scripts en la sesión de otros usuarios.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Exclusive Addons for Elementor a la versión 2.7.7 o superior. Además, es aconsejable revisar los permisos de los usuarios y limitar el acceso a funciones de edición a aquellos que realmente lo necesiten.

Señales de detección

Se pueden detectar intentos de explotación mediante la monitorización de logs en busca de patrones inusuales en las entradas de los widgets afectados. También se deben observar comportamientos extraños en los navegadores de los usuarios, como redirecciones inesperadas o mensajes de error.

Alcance afectado

Las versiones del plugin Exclusive Addons for Elementor anteriores a la 2.7.7 están afectadas. Esto incluye todas las instalaciones que utilicen versiones hasta la 2.7.6.