Exclusive Addons for Elementor <= 2.7.9.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Countdown Timer Widget

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Exclusive Addons for Elementor hasta la versión 2.7.9.1. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuyente o superior inyectar scripts maliciosos a través del widget de temporizador de cuenta regresiva.

Contexto técnico

El fallo se produce debido a la falta de validación y sanitización adecuada de las entradas en el widget de temporizador de cuenta regresiva. Esto permite que un atacante inyecte código JavaScript que se ejecutará en el navegador de otros usuarios que visualicen la página afectada, comprometiendo así la integridad del sitio.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante ejecutar scripts en el contexto de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad o redirección a sitios maliciosos. Esto podría afectar la reputación del sitio y la confianza de los usuarios.

Vector de explotación

La explotación se realiza cuando un usuario autenticado, con permisos de contribuyente o superiores, introduce un script malicioso en el campo de entrada del widget de temporizador de cuenta regresiva. Posteriormente, cualquier visitante que cargue la página con este widget ejecutará el script inyectado.

Mitigación recomendada

Actualizar el plugin Exclusive Addons for Elementor a la versión 2.7.9.2 o superior. Además, se recomienda revisar las configuraciones de permisos de usuario y aplicar medidas de seguridad adicionales como la sanitización de entradas y el uso de Content Security Policy (CSP).

Señales de detección

Señales de posible explotación incluyen la presencia de scripts inusuales en el HTML de las páginas que utilizan el widget de temporizador de cuenta regresiva, así como reportes de comportamientos anómalos por parte de los usuarios en el sitio.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Exclusive Addons for Elementor hasta la 2.7.9.1. Se recomienda a los administradores de sitios que utilicen este plugin que realicen la actualización a la versión corregida lo antes posible.