Livemesh Addons by Elementor <= 9.0 - Missing Authorization to Authenticated (Subscriber+) Stored Cross-Site Scripting via Plugin Settings

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS en el plugin Livemesh Addons para Elementor, que permite la ejecución de scripts maliciosos a través de la configuración del plugin. Esta falla, con una severidad media (CVSS 6.4), puede comprometer la seguridad de los usuarios autenticados con rol de suscriptor o superior.

Contexto técnico

La vulnerabilidad se origina en la falta de autorización adecuada en las configuraciones del plugin, lo que permite a usuarios no autorizados inyectar scripts maliciosos. El vector de ataque se encuentra en la interfaz de configuración del plugin, donde se pueden manipular los parámetros sin la debida validación.

Impacto potencial

La explotación de esta vulnerabilidad puede permitir a un atacante ejecutar scripts en el contexto del navegador de otros usuarios, lo que podría llevar al robo de datos sensibles o a la manipulación de sesiones. Esto representa un riesgo significativo para la integridad de la información y la confianza de los usuarios.

Vector de explotación

La explotación se realiza a través de la configuración del plugin, donde un atacante autenticado puede enviar datos maliciosos que son procesados sin la debida validación, provocando la ejecución de scripts no autorizados.

Mitigación recomendada

Actualizar el plugin Livemesh Addons para Elementor a la versión 9.0 o superior para corregir la vulnerabilidad. Revisar y ajustar las configuraciones de seguridad del plugin para limitar el acceso a usuarios no autorizados. Realizar auditorías periódicas de seguridad en la instalación de WordPress y sus plugins.

Señales de detección

Monitorear los logs de acceso para detectar patrones inusuales en las configuraciones del plugin, así como alertas de ejecución de scripts no autorizados en el navegador de los usuarios.

Alcance afectado

Las versiones del plugin Livemesh Addons para Elementor hasta la 9.0 están afectadas. No se han confirmado escenarios adicionales que amplíen el alcance de la vulnerabilidad.