Exclusive Addons for Elementor <= 2.7.9.4 - Authenticated (Contributor+) Stored Cross-Site Scripting via Countdown

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Exclusive Addons for Elementor, que afecta a las versiones hasta la 2.7.9.4. Esta falla permite a usuarios autenticados con rol de contribuyente o superior inyectar scripts maliciosos a través de un contador.

Contexto técnico

La vulnerabilidad se manifiesta en el manejo inadecuado de entradas en el plugin, específicamente en la funcionalidad del contador. Esto permite que un atacante inyecte código JavaScript que se ejecutará en el navegador de otros usuarios que visualicen la página afectada, lo que compromete la seguridad de la aplicación.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en el robo de información sensible, como cookies de sesión, o en la redirección de usuarios a sitios maliciosos. Esto podría afectar la reputación del negocio y la confianza de los usuarios, además de potenciales pérdidas económicas.

Vector de explotación

Normalmente, la explotación se lleva a cabo por un usuario autenticado con permisos de contribuyente o superiores que inserta un script malicioso en el campo del contador. Este script se ejecutará cuando otros usuarios accedan a la página donde se ha inyectado el código.

Mitigación recomendada

Se recomienda actualizar el plugin Exclusive Addons for Elementor a la versión 2.7.9.5 o superior para mitigar esta vulnerabilidad. Además, se sugiere revisar los permisos de los usuarios y aplicar medidas de hardening en la entrada de datos para prevenir inyecciones similares.

Señales de detección

Las señales de posible explotación incluyen la aparición de scripts no autorizados en el contenido de las páginas o en las herramientas de desarrollo del navegador. También se pueden observar comportamientos inusuales en la interacción de los usuarios con el sitio web.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.7.9.5 del plugin Exclusive Addons for Elementor, que se utiliza en diversas instalaciones de WordPress.