PQ Addons – Creative Elementor Widgets <= 1.0.0 - Authenticated (Contributor+) Stored Cross-Site Scripting via Widget Attributes en Peacefulqode Elementzplus Widgets (Cross-Site Scripting (XSS))

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin PQ Addons – Creative Elementor Widgets, que afecta a las versiones anteriores a la 1.0.0. Esta vulnerabilidad permite que usuarios autenticados con rol de contribuyente o superior inyecten scripts maliciosos a través de los atributos de los widgets.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin gestiona los atributos de los widgets, permitiendo la inyección de código JavaScript malicioso. Esto se considera un ataque de XSS almacenado, ya que el código inyectado se almacena y se ejecuta en el navegador de otros usuarios que visualizan el contenido afectado.

Impacto potencial

El impacto potencial incluye la posibilidad de que un atacante robe información sensible de los usuarios, como credenciales de acceso, o realice acciones no autorizadas en sus cuentas. Esto puede comprometer la integridad del sitio y dañar la reputación del negocio.

Vector de explotación

La explotación de esta vulnerabilidad suele realizarse mediante la creación de un widget que contenga código JavaScript malicioso, el cual es luego visualizado por otros usuarios, permitiendo al atacante ejecutar acciones en sus sesiones.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin PQ Addons – Creative Elementor Widgets a la versión 1.0.0 o superior. Además, se sugiere revisar y sanitizar adecuadamente todos los datos de entrada y salida relacionados con los atributos de los widgets.

Señales de detección

Se pueden detectar intentos de explotación observando cambios inusuales en los widgets o la aparición de scripts no autorizados en el contenido generado por el plugin. También es recomendable monitorizar los logs de acceso en busca de actividades sospechosas.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.0.0 del plugin PQ Addons – Creative Elementor Widgets. Se recomienda a los administradores de WordPress que verifiquen si están utilizando este plugin y tomen medidas inmediatas.