Fuente base de datos: Wordfence Intelligence

aThemes Addons for Elementor Lite <= 1.1.2 - Authenticated (Contributor+) Stored Cross-Site Scripting via Countdown Widget

PLUGIN MEDIUM CVE-2025-8149

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin aThemes Addons for Elementor Lite, que afecta a las versiones hasta la 1.1.2. Esta vulnerabilidad permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos a través del widget de cuenta atrás.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja las entradas del usuario en el widget de cuenta atrás. Al no sanitizar adecuadamente los datos, un atacante puede insertar código JavaScript que se ejecutará en el navegador de otros usuarios que visualicen la página afectada.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad o redirección a sitios maliciosos. Esto pone en riesgo tanto la integridad de la web como la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad generalmente se realiza mediante el acceso a un panel de administración de WordPress por parte de un usuario autenticado con privilegios de colaborador o superiores, quien luego inyecta código malicioso a través del widget de cuenta atrás.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.1.3 o superior. Además, se sugiere revisar y sanitizar adecuadamente todas las entradas de usuario en el plugin y limitar los permisos de los usuarios según sea necesario.

Señales de detección

Las señales que podrían indicar un intento de explotación incluyen la aparición de scripts no autorizados en el código fuente de la página, así como comportamientos inusuales en la interacción de los usuarios con el widget de cuenta atrás.

Alcance afectado

Las versiones del plugin aThemes Addons for Elementor Lite hasta la 1.1.2 están afectadas. Cualquier instalación que utilice estas versiones es vulnerable a la explotación.