Fuente base de datos: Wordfence Intelligence

The Plus Addons for Elementor – Addons for Elementor, Page Templates, Widgets, Mega Menu, WooCommerce <= 6.4.11 - Authenticated (Contributor+) Stored Cross-Site Scripting via Navigation Menu Lite Widget en THE Plus Addons FOR Elementor Page Builder (Cross-Site Scripting (XSS)) - version 6.4.12

PLUGIN MEDIUM CVE-2026-5243

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo XSS en el plugin The Plus Addons para Elementor, que afecta a las versiones hasta 6.4.11. Esta falla permite la ejecución de scripts maliciosos, lo que puede comprometer la seguridad del sitio y la integridad de los datos del usuario.

Contexto técnico

La vulnerabilidad se encuentra en el widget de menú de navegación del plugin, permitiendo a usuarios autenticados con rol de contribuyente o superior inyectar código JavaScript malicioso. Esto ocurre cuando se manipulan las entradas del menú sin la debida sanitización.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en la ejecución de scripts en el navegador de otros usuarios, lo que podría llevar al robo de información sensible o a la manipulación del contenido del sitio. Esto representa un riesgo significativo para la reputación y la seguridad del negocio.

Vector de explotación

La explotación se lleva a cabo a través de la inyección de código malicioso en los campos del menú de navegación por parte de usuarios autenticados con permisos adecuados.

Mitigación recomendada

Actualizar el plugin a la versión 6.4.12 o superior. Revisar y sanitizar las entradas del menú de navegación para evitar inyecciones de código. Implementar políticas de seguridad adicionales como Content Security Policy (CSP).

Señales de detección

Revisar los logs de actividad para detectar modificaciones sospechosas en los menús de navegación y buscar patrones de inyección de scripts.

Alcance afectado

Las versiones del plugin The Plus Addons para Elementor hasta la 6.4.11 están afectadas. No se han reportado casos en versiones posteriores a la 6.4.12.