Fuente base de datos: Wordfence Intelligence

Essential Addons for Elementor – Popular Elementor Templates and Widgets <= 6.2.2 - Authenticated (Contributor+) DOM-Based Stored Cross-Site Scripting via 'data-gallery-items'

PLUGIN MEDIUM CVE-2025-8451

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Essential Addons for Elementor en versiones hasta la 6.2.2. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuyente o superior ejecutar scripts maliciosos a través de la manipulación de 'data-gallery-items'.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja la entrada de datos para la opción 'data-gallery-items'. Un atacante autenticado puede inyectar código JavaScript malicioso que se ejecutará en el navegador de otros usuarios al visualizar la página afectada, lo que se clasifica como un ataque DOM-Based Stored XSS.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de otros usuarios, lo que podría llevar al robo de sesiones, redirección a sitios maliciosos o la manipulación de contenido. Esto puede afectar la confianza de los usuarios y la reputación del negocio.

Vector de explotación

La explotación se realiza mediante la inyección de código JavaScript en el campo 'data-gallery-items' por parte de un usuario autenticado, quien luego puede inducir a otros usuarios a cargar la página afectada para ejecutar el script malicioso.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Essential Addons for Elementor a la versión 6.2.3 o superior. Además, se deben revisar los permisos de usuario y aplicar medidas de seguridad adicionales como la validación y sanitización de entradas.

Señales de detección

Señales de riesgo incluyen la presencia de scripts inusuales en el código fuente de las páginas generadas por el plugin, así como comportamientos extraños en la interacción de los usuarios con el sitio web.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin Essential Addons for Elementor hasta la 6.2.2. Se recomienda a los administradores de sitios que verifiquen si tienen instalada esta versión o anterior.