Royal Addons for Elementor <= 1.7.1056 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'Follow Button Text' Parameter en Royal Elementor Addons (Cross-Site Scripting (XSS)) - version 1.7.1057

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Royal Addons for Elementor, que afecta a versiones hasta la 1.7.1056. Esta falla puede permitir a un atacante autenticado inyectar scripts maliciosos, comprometiendo la seguridad del sitio web y afectando la integridad de los datos.

Contexto técnico

La vulnerabilidad se presenta a través del parámetro 'Follow Button Text', permitiendo la inyección de código malicioso en el contexto de un usuario autenticado con rol de contribuyente o superior. Esto expone la superficie de ataque a usuarios que interactúan con el plugin, facilitando el XSS.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el navegador de otros usuarios, lo que podría resultar en el robo de información sensible o la manipulación del contenido del sitio. Esto podría afectar la confianza de los usuarios y la reputación del negocio.

Vector de explotación

La explotación se realiza mediante la modificación del parámetro 'Follow Button Text' en una solicitud autenticada, lo que permite inyectar código JavaScript que se ejecutará en el navegador de otros usuarios que visiten la página afectada.

Mitigación recomendada

Actualizar el plugin Royal Addons for Elementor a la versión 1.7.1057 o superior para corregir la vulnerabilidad. Revisar las configuraciones de seguridad del sitio para asegurar que solo usuarios confiables tengan acceso a funciones críticas. Implementar medidas de seguridad adicionales, como Content Security Policy (CSP), para mitigar el riesgo de XSS.

Señales de detección

Señales de riesgo incluyen registros de actividad inusual en el plugin, como cambios inesperados en el contenido del botón de seguimiento o en el comportamiento de los usuarios autenticados.

Alcance afectado

Las versiones afectadas son Royal Addons for Elementor hasta la 1.7.1056. No se han confirmado otros casos fuera de este rango de versiones.