Qi Addons For Elementor <= 1.8.7 - Authenticated (Contributor+) Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) almacenado en el plugin Qi Addons For Elementor, que afecta a las versiones hasta la 1.8.7. Esta vulnerabilidad tiene un nivel de severidad medio y podría ser explotada por usuarios autenticados con rol de colaborador o superior.

Contexto técnico

La vulnerabilidad se manifiesta a través de la inyección de scripts maliciosos que pueden ser almacenados y posteriormente ejecutados en el navegador de otros usuarios. Esto se debe a una falta de validación de las entradas en el plugin, lo que permite la ejecución de código no autorizado.

Impacto potencial

El impacto de esta vulnerabilidad podría ser significativo, ya que permite a un atacante inyectar scripts que roben información sensible o realicen acciones no autorizadas en nombre de otros usuarios. Esto puede comprometer la integridad y la confianza en la plataforma, afectando la reputación del negocio.

Vector de explotación

Generalmente, esta vulnerabilidad se explota mediante la creación de contenido malicioso por parte de un usuario autenticado que tiene permisos de colaborador o superiores. Una vez que el contenido se almacena, otros usuarios que visualicen la página pueden ejecutar el script malicioso.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Qi Addons For Elementor a la versión 1.8.8 o superior. Además, se debe revisar y sanitizar adecuadamente las entradas en el plugin para evitar inyecciones de scripts en el futuro.

Señales de detección

Señales de explotación pueden incluir la aparición de comportamientos anómalos en el sitio web, como redirecciones inesperadas o la ejecución de scripts no autorizados. También se deben monitorizar los logs de actividad de los usuarios con permisos elevados.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Qi Addons For Elementor hasta la 1.8.7. Las instalaciones que no han actualizado a la versión 1.8.8 están en riesgo.