HT Mega – Absolute Addons For Elementor <= 2.8.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Multiple Widgets

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin HT Mega – Absolute Addons para Elementor, que afecta a las versiones hasta la 2.8.3. Este fallo permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos a través de múltiples widgets.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja la entrada de datos en varios widgets, permitiendo que un atacante autenticado inserte código JavaScript que se ejecutará en el navegador de otros usuarios. Esto se clasifica como un ataque de XSS almacenado, donde el código malicioso se guarda y se ejecuta posteriormente.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de otros usuarios, lo que podría resultar en el robo de sesiones, redirección a sitios maliciosos o la manipulación de contenido. Esto podría afectar la integridad de la web y la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza mediante la creación de contenido malicioso que se guarda en el sistema y se muestra a otros usuarios, aprovechando el acceso de un usuario autenticado con permisos adecuados para inyectar el código.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin HT Mega – Absolute Addons para Elementor a la versión 2.8.4 o superior. Además, se debe revisar el acceso y los permisos de los usuarios, restringiendo el acceso a solo aquellos que realmente lo necesiten.

Señales de detección

Se pueden detectar intentos de explotación mediante la monitorización de registros de actividad que muestren modificaciones inusuales en los widgets del plugin, así como la ejecución de scripts no autorizados en el frontend.

Alcance afectado

Las versiones del plugin HT Mega – Absolute Addons para Elementor hasta la 2.8.3 están afectadas por esta vulnerabilidad. La versión 2.8.4 y posteriores han solucionado el problema.