Happy Addons for Elementor <= 3.20.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Custom JS

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Happy Addons para Elementor, afectando a versiones hasta la 3.20.3. Esta vulnerabilidad permite la ejecución de scripts maliciosos en el contexto del usuario autenticado con rol de colaborador o superior.

Contexto técnico

El fallo se origina en la forma en que el plugin maneja el JavaScript personalizado proporcionado por los usuarios. La falta de una adecuada validación y sanitización de este contenido permite la inyección de código malicioso, lo que puede comprometer la seguridad del sitio web.

Impacto potencial

El impacto puede ser significativo, ya que un atacante podría ejecutar scripts en el navegador de otros usuarios autenticados, lo que podría llevar al robo de credenciales, manipulación de datos o incluso la toma de control del sitio. Esto representa un riesgo tanto para la seguridad como para la reputación del negocio.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la creación de contenido malicioso que se inserta a través de las funcionalidades del plugin, el cual es posteriormente visualizado por otros usuarios con privilegios, permitiendo así la ejecución del script malicioso.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 3.20.4 o superior. Además, es aconsejable revisar y sanitizar cualquier contenido JavaScript personalizado que se haya añadido previamente, así como implementar políticas de seguridad de contenido (CSP) para limitar la ejecución de scripts no autorizados.

Señales de detección

Se deben estar atentos a comportamientos inusuales en el navegador de los usuarios, como redirecciones inesperadas, aparición de ventanas emergentes o cambios en la interfaz del usuario. También se pueden revisar los registros de actividad para detectar accesos no autorizados o intentos de inyección de código.

Alcance afectado

Las versiones del plugin Happy Addons para Elementor hasta la 3.20.3 son las afectadas. La versión 3.20.4 y posteriores han corregido esta vulnerabilidad.