Animation Addons for Elementor <= 2.6.3 - Authenticated (Contributor+) Stored Cross-Site Scripting via Weather Widget (Cross-Site Scripting (XSS)) - version 2.6.4

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Animation Addons for Elementor, que afecta a versiones hasta la 2.6.3. Este fallo permite a usuarios autenticados con rol de colaborador o superior inyectar scripts maliciosos, comprometiendo la seguridad del sitio.

Contexto técnico

La vulnerabilidad se encuentra en el widget del clima del plugin, donde los datos no son correctamente sanitizados. Esto permite que un atacante inyecte código JavaScript malicioso a través de entradas de usuario, afectando la superficie de ataque al permitir la ejecución de scripts en el navegador de otros usuarios.

Impacto potencial

El impacto potencial incluye la posibilidad de robo de cookies de sesión, redirección a sitios maliciosos o la ejecución de acciones no autorizadas en nombre de otros usuarios. Esto puede resultar en la pérdida de confianza de los usuarios y daños a la reputación del negocio.

Vector de explotación

Normalmente, la explotación se lleva a cabo mediante la inyección de código en el widget del clima, que luego se ejecuta cuando otros usuarios cargan la página afectada.

Mitigación recomendada

Actualizar el plugin Animation Addons for Elementor a la versión 2.6.4 o superior para corregir la vulnerabilidad. Revisar los permisos de usuario y limitar el acceso a funciones críticas a roles de usuario apropiados. Implementar medidas de seguridad adicionales como la validación y sanitización de entradas en formularios.

Señales de detección

Monitorear los logs para detectar entradas inusuales en el widget del clima y cualquier actividad sospechosa relacionada con usuarios autenticados.

Alcance afectado

Las versiones afectadas son todas las versiones hasta la 2.6.3 del plugin Animation Addons for Elementor. No se ha confirmado la existencia de casos en versiones superiores a la 2.6.4.