Fuente base de datos: Wordfence Intelligence

Royal Addons for Elementor <= 1.7.1056 - Unauthenticated Stored Cross-Site Scripting via 'status' Parameter in wpr_update_form_action_meta en Royal Elementor Addons (Cross-Site Scripting (XSS)) - version 1.7.1057

PLUGIN HIGH CVE-2026-4803

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Royal Addons para Elementor, afectando a versiones hasta la 1.7.1056. Esta falla permite la inyección de scripts maliciosos sin autenticación, lo que puede comprometer la seguridad del sitio web.

Contexto técnico

El fallo se encuentra en el parámetro 'status' de la función wpr_update_form_action_meta, lo que permite a un atacante inyectar código JavaScript en el contexto de otros usuarios. La explotación se puede llevar a cabo sin necesidad de autenticación, aumentando el riesgo de ataque.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en el robo de información sensible, redirección de usuarios a sitios maliciosos o la ejecución de acciones no autorizadas en nombre del usuario. Esto puede afectar gravemente la reputación del negocio y la confianza de los usuarios.

Vector de explotación

Los atacantes pueden enviar solicitudes manipuladas que incluyan el parámetro 'status', permitiendo la ejecución de scripts en el navegador de otros usuarios que visiten la página afectada.

Mitigación recomendada

Actualizar el plugin Royal Addons para Elementor a la versión 1.7.1057 o superior. Revisar y limpiar cualquier entrada de datos que pueda haber sido afectada por la vulnerabilidad. Implementar medidas de seguridad adicionales como Content Security Policy (CSP) para mitigar riesgos futuros.

Señales de detección

Revisar los logs de acceso para detectar solicitudes inusuales que contengan el parámetro 'status' y monitorizar cambios no autorizados en el contenido del sitio.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.7.1057 del plugin Royal Addons para Elementor. No se han confirmado casos de explotación en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

royal-elementor-addons