King Addons for Elementor <= 51.1.62 - Authenticated (Subscriber+) Stored Cross-Site Scripting via 'form_page_id' Parameter (Cross-Site Scripting (XSS)) - version 51.1.63

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin King Addons para Elementor, afectando a versiones anteriores a la 51.1.63. Este fallo permite la inyección de scripts maliciosos por usuarios autenticados con rol de suscriptor o superior, lo que puede comprometer la seguridad del sitio.

Contexto técnico

La vulnerabilidad se manifiesta a través del parámetro 'form_page_id', permitiendo a un atacante inyectar código JavaScript en las páginas afectadas. La exposición ocurre cuando un usuario autenticado interactúa con formularios que utilizan este parámetro sin la debida validación y saneamiento.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto del navegador de otros usuarios, lo que podría llevar al robo de información sensible o a la manipulación de la interfaz de usuario. Esto puede afectar la confianza del cliente y la integridad del sitio web.

Vector de explotación

La explotación suele llevarse a cabo mediante la creación de formularios manipulados que, al ser enviados por un usuario autenticado, ejecutan el código malicioso en el navegador de otros usuarios que visualizan la página afectada.

Mitigación recomendada

Actualizar el plugin King Addons para Elementor a la versión 51.1.63 o superior. Revisar y validar todos los parámetros de entrada en formularios para prevenir inyecciones de código. Implementar políticas de seguridad como Content Security Policy (CSP) para mitigar el riesgo de XSS.

Señales de detección

Buscar en los logs de acceso patrones inusuales de solicitudes que incluyan el parámetro 'form_page_id' con contenido no esperado. También, monitorizar cambios en la configuración de formularios que puedan indicar explotación.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 51.1.63. No se han confirmado casos de explotación en versiones posteriores.