Anber Elementor Addon <= 1.0.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Carousel button link

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Anber Elementor Addon, que afecta a las versiones hasta la 1.0.1. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos a través del enlace del botón del carrusel.

Contexto técnico

La vulnerabilidad se presenta como un XSS almacenado, lo que significa que el código malicioso se almacena en el servidor y se ejecuta en el navegador de otros usuarios. La superficie de ataque está relacionada con la funcionalidad del botón de enlace del carrusel del plugin, donde los atacantes pueden introducir código JavaScript malicioso.

Impacto potencial

El impacto potencial de esta vulnerabilidad es medio, ya que permite a un atacante inyectar scripts que pueden robar información sensible de los usuarios o realizar acciones no autorizadas en nombre de estos. Esto puede comprometer la integridad del sitio web y la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad suele llevarse a cabo mediante el envío de un enlace malicioso a través del botón del carrusel, donde un usuario autenticado puede insertar el script malicioso. Posteriormente, cuando otros usuarios acceden a esa sección del sitio, el script se ejecuta en su navegador.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Anber Elementor Addon a la versión 1.0.1 o superior. Además, es aconsejable revisar y validar todas las entradas de usuario para prevenir la inyección de scripts maliciosos.

Señales de detección

Las señales de posible explotación incluyen la aparición de comportamientos inusuales en el sitio, como redirecciones inesperadas o la ejecución de scripts no autorizados en el navegador de los usuarios.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.0.1 del plugin Anber Elementor Addon. Se recomienda a los administradores de sitios que utilicen este plugin que verifiquen su versión.