Fuente base de datos: Wordfence Intelligence

The Plus Addons for Elementor <= 6.4.15 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'carousel_direction' Parameter en THE Plus Addons FOR Elementor Page Builder (Cross-Site Scripting (XSS)) - version 6.4.16

PLUGIN MEDIUM CVE-2026-9243

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS almacenado en The Plus Addons para Elementor, que afecta a versiones hasta la 6.4.15. Este fallo permite a atacantes autenticados inyectar scripts maliciosos, comprometiendo la seguridad de la aplicación y los datos de los usuarios.

Contexto técnico

El fallo se encuentra en el parámetro 'carousel_direction', permitiendo la inyección de código malicioso cuando es manipulado por un usuario con rol de contribuyente o superior. La exposición ocurre en entornos donde se permite la interacción de usuarios autenticados con el plugin.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de scripts en el contexto de los usuarios, lo que podría llevar a la sustracción de información sensible y a la manipulación de la interfaz del usuario. Esto puede afectar la confianza de los usuarios y la integridad de la plataforma.

Vector de explotación

La explotación se lleva a cabo mediante la manipulación del parámetro 'carousel_direction' en formularios o interfaces donde los contribuyentes pueden introducir datos, lo que resulta en la ejecución de scripts en el navegador de otros usuarios.

Mitigación recomendada

Actualizar el plugin The Plus Addons para Elementor a la versión 6.4.16 o superior. Revisar los permisos de usuario para limitar el acceso a funciones críticas. Implementar medidas de validación y sanitización de entradas para prevenir inyecciones futuras. Realizar auditorías de seguridad periódicas para identificar vulnerabilidades adicionales.

Señales de detección

Revisar los registros de actividad para detectar entradas inusuales en el parámetro 'carousel_direction' por parte de usuarios con rol de contribuyente. Monitorizar cambios en la configuración del plugin.

Alcance afectado

Las versiones de The Plus Addons para Elementor hasta la 6.4.15 están afectadas. No se han confirmado escenarios adicionales fuera de estas versiones.