Split Test For Elementor <= 1.8.4 - Authenticated (Administrator+) Stored Cross-Site Scripting (Cross-Site Scripting (XSS)) - version 1.8.5

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Split Test For Elementor' en versiones hasta la 1.8.3. Esta falla permite a administradores autenticados inyectar scripts maliciosos en el sitio web.

Contexto técnico

La vulnerabilidad se presenta en la forma en que el plugin maneja y almacena datos introducidos por los usuarios, permitiendo que un atacante con privilegios de administrador pueda inyectar código JavaScript que se ejecutará en el navegador de otros usuarios que visiten la página afectada.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto del navegador de otros usuarios, lo que podría resultar en el robo de información sensible, la manipulación de contenido o la redirección a sitios maliciosos.

Vector de explotación

Generalmente, esta vulnerabilidad se explota mediante la inserción de scripts maliciosos en campos de entrada del plugin, que luego son almacenados y ejecutados en las sesiones de otros usuarios que acceden a las páginas afectadas.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin 'Split Test For Elementor' a la versión 1.8.3 o superior. Además, se deben revisar los permisos de usuario y aplicar medidas de seguridad adicionales, como la validación y el saneamiento de entradas.

Señales de detección

Señales de riesgo incluyen la presencia de scripts no autorizados en el código fuente de las páginas, así como comportamientos inusuales en la interacción del usuario con el sitio web.

Alcance afectado

Las versiones del plugin 'Split Test For Elementor' hasta la 1.8.3 están afectadas por esta vulnerabilidad, lo que incluye todas las instalaciones que utilicen estas versiones previas.