Fuente base de datos: Wordfence Intelligence

All-in-One Addons for Elementor – WidgetKit <= 2.5.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via button+modal Widget

PLUGIN MEDIUM CVE-2025-2330

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'All-in-One Addons for Elementor – WidgetKit' en versiones anteriores a la 2.5.5. Este fallo permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos a través de un widget específico.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja la entrada de datos en el widget de botón y modal. Al no validar correctamente los datos introducidos por el usuario, un atacante puede inyectar código JavaScript que se ejecutará en el navegador de otros usuarios que visiten la página afectada.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de scripts maliciosos que pueden robar información sensible, redirigir a los usuarios a sitios maliciosos o realizar acciones no autorizadas en nombre de los usuarios afectados. Esto puede afectar la reputación del negocio y la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se lleva a cabo por un usuario autenticado con permisos de contribuidor o superior que utiliza el widget afectado para inyectar código malicioso en el contenido del sitio web.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 2.5.5 o superior. Además, se debe revisar la configuración de permisos de los usuarios para limitar el acceso a funciones críticas y realizar un escaneo de seguridad para detectar posibles inyecciones de código.

Señales de detección

Señales de riesgo incluyen la aparición de comportamientos inusuales en la interfaz del usuario, como scripts que se ejecutan sin autorización o cambios no documentados en el contenido del sitio. También se pueden observar registros de actividad sospechosa por parte de usuarios autenticados.

Alcance afectado

Las versiones del plugin 'All-in-One Addons for Elementor – WidgetKit' anteriores a la 2.5.5 son las que presentan esta vulnerabilidad. Es importante verificar todas las instalaciones que utilicen este plugin.