Essential Addons for Elementor – Best Elementor Templates, Widgets, Kits & WooCommerce Builders <= 6.1.12 - Authenticated(Contributor+) Stored Cross-Site Scripting via Event Calendar Widget

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Essential Addons for Elementor, que afecta a las versiones anteriores a la 6.1.13. Esta vulnerabilidad permite a un atacante autenticado inyectar scripts maliciosos a través del widget del calendario de eventos.

Contexto técnico

La vulnerabilidad se clasifica como XSS almacenado y se presenta en el widget del calendario de eventos del plugin. A través de esta falla, un atacante con privilegios de colaborador o superiores puede insertar código JavaScript que se ejecutará en el navegador de otros usuarios que visualicen la página afectada, comprometiendo así la integridad del sitio.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de scripts no autorizados, lo que podría llevar al robo de información sensible, manipulación de sesiones de usuario o redirecciones a sitios maliciosos. Esto puede dañar la reputación del negocio y afectar la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad suele realizarse mediante la inyección de código JavaScript en el widget del calendario de eventos. Un atacante autenticado puede utilizar esta función para incluir scripts que se ejecuten en el contexto de otros usuarios.

Mitigación recomendada

Para mitigar este riesgo, se recomienda actualizar el plugin Essential Addons for Elementor a la versión 6.1.13 o superior. Además, se sugiere revisar y sanitizar adecuadamente cualquier entrada de usuario en los widgets y aplicar políticas de seguridad de contenido (CSP) para limitar la ejecución de scripts no autorizados.

Señales de detección

Las señales de posible explotación incluyen la aparición de comportamientos inusuales en el sitio web, como redirecciones inesperadas o la ejecución de scripts no autorizados en la consola del navegador. También se deben monitorear los registros de actividad de los usuarios para detectar accesos inusuales por parte de colaboradores.

Alcance afectado

Las versiones afectadas del plugin Essential Addons for Elementor son todas las anteriores a la 6.1.13. Se recomienda verificar la instalación del plugin en todos los sitios que utilicen este componente.