Jeg Elementor Kit <= 2.6.12 - Authenticated (Contributor+) Stored Cross-Site Scripting via Video Button and Countdown Widgets

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Jeg Elementor Kit, que afecta a las versiones anteriores a la 2.6.13. Esta vulnerabilidad permite a los usuarios autenticados con permisos de contribuyente o superiores inyectar scripts maliciosos a través de widgets específicos.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja la entrada de datos en los widgets de botón de vídeo y cuenta atrás. La falta de validación adecuada permite que se almacenen scripts maliciosos, que posteriormente se ejecutan en el navegador de otros usuarios que visualizan el contenido afectado.

Impacto potencial

La explotación de esta vulnerabilidad puede comprometer la seguridad de los usuarios finales, permitiendo a un atacante ejecutar scripts en el contexto de su navegador. Esto podría resultar en el robo de información sensible, suplantación de identidad o redirección a sitios maliciosos, afectando la reputación y la confianza en la plataforma.

Vector de explotación

Generalmente, un atacante autenticado puede aprovechar esta vulnerabilidad al insertar código JavaScript malicioso en los widgets afectados, que luego se ejecutará cuando otros usuarios accedan a la página que contiene el contenido comprometido.

Mitigación recomendada

Se recomienda actualizar el plugin Jeg Elementor Kit a la versión 2.6.13 o superior. Además, se aconseja revisar y sanitizar las entradas de los usuarios, así como implementar políticas de seguridad de contenido (CSP) para mitigar el riesgo de XSS.

Señales de detección

Señales de posible explotación incluyen la aparición de comportamientos inusuales en la interfaz de usuario, como redirecciones inesperadas o la carga de contenido no autorizado. También se debe monitorizar el registro de actividades de usuarios con permisos de contribuyente o superiores.

Alcance afectado

Las versiones del plugin Jeg Elementor Kit anteriores a la 2.6.13 son vulnerables. Se recomienda a todos los usuarios de este plugin verificar su versión y proceder a la actualización.