Element Pack Addons for Elementor – Best Elementor addons with Ready Templates, Blocks, Widgets and WooCommerce Builder <= 5.11.2 - Authenticated (Contributor+) DOM-Based Stored Cross-Site Scripting

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Element Pack Addons para Elementor, que afecta a las versiones hasta la 5.11.2. Esta vulnerabilidad permite a un atacante autenticado inyectar scripts maliciosos en la aplicación.

Contexto técnico

El fallo se localiza en la forma en que el plugin maneja la entrada de datos del usuario, permitiendo la inyección de código JavaScript en el DOM. Esto se produce en un contexto donde un usuario autenticado puede aprovechar la funcionalidad del plugin para ejecutar scripts no deseados en el navegador de otros usuarios.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de los usuarios finales, permitiendo a un atacante robar información sensible o realizar acciones no autorizadas en nombre de otros usuarios. Esto puede tener repercusiones negativas en la confianza del cliente y en la reputación del negocio.

Vector de explotación

Generalmente, un atacante autenticado puede utilizar formularios o campos de entrada del plugin para introducir código JavaScript malicioso que se ejecutará en el navegador de otros usuarios que visualicen la página afectada.

Mitigación recomendada

Se recomienda actualizar el plugin a la versión 5.11.3 o superior para mitigar esta vulnerabilidad. Además, se sugiere realizar una revisión de los permisos de usuario y aplicar medidas de seguridad adicionales para limitar el acceso a funciones críticas del plugin.

Señales de detección

Se pueden observar comportamientos inusuales en la interacción del usuario, como redirecciones inesperadas o la aparición de scripts no autorizados en el código fuente de las páginas. Además, se debe estar atento a informes de usuarios que experimenten comportamientos extraños al navegar por el sitio.

Alcance afectado

Las versiones del plugin Element Pack Addons para Elementor hasta la 5.11.2 están afectadas por esta vulnerabilidad. Las versiones posteriores, a partir de la 5.11.3, han sido corregidas.