Animation Addons for Elementor Pro <= 1.6 - Missing Authorization to Authenticated (Subscriber+) Arbitrary Plugin Installation/Activation

Resumen ejecutivo

Se ha identificado una vulnerabilidad crítica en el plugin 'Animation Addons for Elementor Pro' que permite la instalación y activación arbitraria de plugins por usuarios autenticados con rol de suscriptor o superior. Esta falla afecta a las versiones hasta la 1.6 y ha sido corregida en la versión 1.7.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización adecuada, lo que permite que usuarios con privilegios mínimos puedan ejecutar acciones que normalmente están restringidas. Esto expone el sistema a riesgos significativos, ya que un atacante podría instalar plugins maliciosos que comprometan la seguridad del sitio.

Impacto potencial

El impacto de esta vulnerabilidad puede ser severo, ya que permite a un atacante con acceso limitado tomar control del sitio, instalar software malicioso y potencialmente robar datos sensibles. Esto podría resultar en daños a la reputación de la empresa y pérdidas económicas.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se lleva a cabo mediante la autenticación como un usuario suscriptor o superior, seguido de la ejecución de comandos para instalar o activar plugins sin la debida autorización.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar inmediatamente el plugin a la versión 1.7 o superior. Además, se sugiere revisar los roles y permisos de los usuarios para limitar el acceso a funciones críticas del sitio.

Señales de detección

Señales de posible explotación incluyen cambios inusuales en la instalación de plugins, actividad de usuarios con roles bajos que intentan acceder a funciones de administración, y alertas de seguridad del sistema.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin 'Animation Addons for Elementor Pro' hasta la 1.6. Las instalaciones de la versión 1.7 o superior no están afectadas.