ElementsKit Elementor Addons – Advanced Widgets & Templates Addons for Elementor <= 3.9.6 - Missing Authorization en Elementskit Lite (falta de autorizacion) - version 3.9.7

Resumen ejecutivo

Se ha detectado una vulnerabilidad de falta de autorización en el plugin ElementsKit Lite para Elementor, afectando a versiones anteriores a la 3.9.6. Esta falla puede permitir accesos no autorizados, comprometiendo la seguridad operativa del sitio.

Contexto técnico

La vulnerabilidad se origina en la gestión de permisos del plugin ElementsKit Lite, permitiendo a un atacante eludir controles de acceso. Esto se puede explotar a través de peticiones directas a ciertas funciones del plugin sin la debida autenticación.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a usuarios no autorizados acceder a funcionalidades restringidas, lo que podría derivar en la manipulación de contenido o la exposición de datos sensibles.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad mediante solicitudes HTTP directas que omiten las verificaciones de autorización, accediendo así a funcionalidades del plugin que deberían estar protegidas.

Mitigación recomendada

Wordfence Intelligence indica que esta vulnerabilidad está corregida a partir de la versión 3.9.7. Actualiza elementskit-lite a la versión 3.9.7 o superior desde el panel de WordPress, WP-CLI o el proveedor oficial del componente. Antes de aplicar el cambio en producción, revisa compatibilidad en staging si el sitio tiene personalizaciones, dependencias críticas o una versión muy antigua. Después de actualizar, confirma que la versión instalada ya no queda por debajo de 3.9.7, limpia cachés y revisa logs de errores o intentos de explotación relacionados. Contrasta el detalle técnico con las referencias de origen enlazadas en esta ficha; no descargues paquetes desde fuentes no oficiales.

Señales de detección

Monitorear los registros de acceso en busca de solicitudes inusuales a funciones del plugin que no requieran autenticación, así como revisar cambios inesperados en la configuración del plugin.

Alcance afectado

Las versiones del plugin ElementsKit Lite anteriores a la 3.9.6 son vulnerables. No se han confirmado casos en versiones posteriores a esta.