Xpro Addons — 140+ Widgets for Elementor <= 1.5.0 - Missing Authorization to Unauthenticated Xpro Template Creation en Xpro Elementor Addons (falta de autorizacion) - version 1.5.1

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo bypass de autenticación en el plugin Xpro Addons para Elementor, permitiendo a usuarios no autenticados crear plantillas. Esta falla, catalogada con una severidad media (CVE-2025-15369), puede comprometer la integridad del contenido del sitio.

Contexto técnico

El fallo se encuentra en versiones del plugin Xpro Addons para Elementor hasta la 1.5.0. La superficie de ataque permite que usuarios no autenticados interactúen con la funcionalidad de creación de plantillas, lo que representa un riesgo significativo para la seguridad del sitio.

Impacto potencial

La explotación de esta vulnerabilidad podría permitir a un atacante crear y modificar contenido sin autorización, afectando la confianza de los usuarios y la reputación del negocio. Esto puede resultar en pérdida de datos y potenciales daños económicos.

Vector de explotación

Los atacantes pueden explotar esta vulnerabilidad enviando solicitudes a la funcionalidad de creación de plantillas del plugin sin necesidad de autenticación previa.

Mitigación recomendada

Actualizar el plugin Xpro Addons para Elementor a la versión 1.5.1 o superior para mitigar la vulnerabilidad. Revisar los permisos de usuario y las configuraciones de acceso al plugin para asegurar que solo usuarios autorizados puedan realizar cambios. Implementar medidas de seguridad adicionales, como firewalls y sistemas de detección de intrusiones.

Señales de detección

Señales de riesgo incluyen logs de creación de plantillas por usuarios no autenticados y cambios no autorizados en el contenido del sitio.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.5.1 del plugin Xpro Addons para Elementor. No se han confirmado otros escenarios de explotación en versiones posteriores.