The Plus Addons for Elementor <= 6.3.15 - Authenticated (Author+) Stored Cross-Site Scripting via SVG

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'The Plus Addons for Elementor' en versiones anteriores a la 6.3.16. Este fallo permite a un atacante autenticado inyectar scripts maliciosos a través de archivos SVG.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja los archivos SVG, permitiendo la ejecución de código JavaScript no autorizado. La superficie de ataque está limitada a usuarios autenticados, específicamente aquellos con privilegios de autor.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la ejecución de scripts en el navegador de otros usuarios, comprometiendo la integridad de la sesión y potencialmente robando información sensible. Esto puede afectar la reputación del negocio y la confianza del usuario.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando un archivo SVG malicioso a través de una función que permite la carga de contenido, lo que resulta en la ejecución de código en el contexto de otros usuarios autenticados.

Mitigación recomendada

Actualizar el plugin 'The Plus Addons for Elementor' a la versión 6.3.16 o superior. Además, se recomienda revisar los permisos de usuario y aplicar políticas de seguridad para la carga de archivos.

Señales de detección

Monitorizar los registros de actividad del usuario en busca de cargas inusuales de archivos SVG y revisar cualquier comportamiento extraño en las sesiones de usuario.

Alcance afectado

Las versiones afectadas son todas las versiones anteriores a la 6.3.16 del plugin 'The Plus Addons for Elementor'.