Qi Addons for Elementor <= 1.9.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via TypeOut Text Widget

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Qi Addons for Elementor, que afecta a las versiones hasta la 1.9.2. Esta vulnerabilidad permite la inyección de scripts maliciosos a través del widget TypeOut Text, lo que podría comprometer la seguridad de las instalaciones afectadas.

Contexto técnico

La vulnerabilidad se origina en la falta de validación adecuada de los datos introducidos en el widget TypeOut Text del plugin. Esto permite a un usuario autenticado con permisos de contribuyente o superiores inyectar código JavaScript malicioso que se ejecutará en el navegador de otros usuarios que visiten la página afectada.

Impacto potencial

El impacto potencial de esta vulnerabilidad es significativo, ya que podría permitir a un atacante robar información sensible de los usuarios o realizar acciones en su nombre. Esto podría resultar en la pérdida de confianza por parte de los usuarios y daños a la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad generalmente implica que un atacante autenticado inserte un script malicioso en el widget TypeOut Text, que luego se ejecutará en el contexto de otros usuarios que visualicen la página afectada.

Mitigación recomendada

Se recomienda actualizar el plugin Qi Addons for Elementor a la versión 1.9.3 o superior para mitigar esta vulnerabilidad. Además, se sugiere revisar y limitar los permisos de los usuarios, así como implementar medidas de seguridad adicionales como la validación de entradas y la sanitización de datos.

Señales de detección

Señales de posible explotación incluyen la detección de scripts inusuales en las páginas generadas por el widget TypeOut Text, así como reportes de comportamientos extraños por parte de los usuarios al interactuar con el sitio web.

Alcance afectado

Las versiones afectadas del plugin son todas hasta la 1.9.2. Las instalaciones que utilicen estas versiones están en riesgo hasta que se aplique la actualización recomendada.