Fuente base de datos: Wordfence Intelligence

The Plus Addons for Elementor – Addons for Elementor, Page Templates, Widgets, Mega Menu, WooCommerce <= 6.4.9 - Authenticated (Contributor+) Stored Cross-Site Scripting via Progress Bar

PLUGIN MEDIUM CVE-2026-3311

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS almacenado en el plugin 'The Plus Addons for Elementor', que afecta a versiones anteriores a 6.4.10. Esta falla puede ser explotada por usuarios autenticados con rol de contribuidor o superior, lo que podría comprometer la seguridad del sitio.

Contexto técnico

La vulnerabilidad se presenta en el componente 'The Plus Addons for Elementor', específicamente a través de la funcionalidad del Progress Bar. Los atacantes pueden inyectar scripts maliciosos que se ejecutan en el contexto del navegador de otros usuarios, facilitando el robo de información sensible.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el navegador de otros usuarios autenticados, lo que podría llevar al robo de credenciales o manipulación de contenido. Esto representa un riesgo para la integridad del sitio y la confianza de los usuarios.

Vector de explotación

La explotación de esta vulnerabilidad se realiza a través de la inyección de código malicioso en el campo del Progress Bar, que luego se almacena y se ejecuta cuando otros usuarios acceden a la página afectada.

Mitigación recomendada

Actualizar el plugin 'The Plus Addons for Elementor' a la versión 6.4.10 o posterior. Revisar los permisos de usuario y limitar el acceso a funciones críticas del plugin. Implementar medidas de seguridad adicionales como Content Security Policy (CSP) para mitigar el riesgo de XSS.

Señales de detección

Señales de riesgo incluyen la presencia de scripts inusuales en los logs de acceso y cambios inesperados en el contenido del Progress Bar. También se deben monitorizar los logs de actividad de usuarios con rol de contribuidor y superior.

Alcance afectado

Las versiones del plugin anteriores a la 6.4.10 están afectadas. No se han confirmado casos en versiones posteriores ni en otros componentes.