King Addons for Elementor <= 51.1.62 - Authenticated (Contributor+) Stored Cross-Site Scripting (Cross-Site Scripting (XSS)) - version 51.1.63

Resumen ejecutivo

Se ha detectado una vulnerabilidad de tipo XSS almacenado en el plugin King Addons for Elementor, que afecta a las versiones hasta la 51.1.37. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior ejecutar scripts maliciosos en el navegador de otros usuarios.

Contexto técnico

La vulnerabilidad se manifiesta como un Cross-Site Scripting (XSS) almacenado, donde un atacante puede inyectar código JavaScript malicioso que se almacena en la base de datos y se ejecuta cuando otros usuarios acceden a la página afectada. Esto puede comprometer la seguridad de los usuarios y la integridad del sitio.

Impacto potencial

El impacto de esta vulnerabilidad puede ser considerable, ya que permite a un atacante robar información sensible, como cookies de sesión, o realizar acciones en nombre de otros usuarios, lo que puede llevar a un compromiso más amplio del sitio web y afectar la confianza de los usuarios.

Vector de explotación

Generalmente, un atacante autenticado puede aprovechar esta vulnerabilidad al inyectar código malicioso en campos de entrada que luego se almacenan y se muestran a otros usuarios sin la debida sanitización.

Mitigación recomendada

Wordfence Intelligence indica que esta vulnerabilidad está corregida a partir de la versión 51.1.63. Actualiza king-addons a la versión 51.1.63 o superior desde el panel de WordPress, WP-CLI o el proveedor oficial del componente. Antes de aplicar el cambio en producción, revisa compatibilidad en staging si el sitio tiene personalizaciones, dependencias críticas o una versión muy antigua. Después de actualizar, confirma que la versión instalada ya no queda por debajo de 51.1.63, limpia cachés y revisa logs de errores o intentos de explotación relacionados. Contrasta el detalle técnico con las referencias de origen enlazadas en esta ficha; no descargues paquetes desde fuentes no oficiales.

Señales de detección

Las señales de posible explotación incluyen la presencia de scripts inusuales en las páginas del sitio, comportamientos anómalos en los usuarios autenticados y alertas de seguridad de plugins que detecten actividades sospechosas.

Alcance afectado

Las versiones del plugin King Addons for Elementor hasta la 51.1.37 son las que se ven afectadas por esta vulnerabilidad. Se debe verificar la instalación del plugin para determinar si se encuentra en una versión vulnerable.