Fuente base de datos: Wordfence Intelligence

aThemes Addons for Elementor <= 1.1.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'title_tag' Widget Setting en Athemes Addons FOR Elementor Lite (Cross-Site Scripting (XSS)) - version 1.1.9

PLUGIN MEDIUM CVE-2026-8613

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin aThemes Addons for Elementor en versiones hasta la 1.1.8. Esta falla permite a usuarios autenticados (con rol de contribuyente o superior) inyectar scripts maliciosos, afectando la integridad del sitio y la experiencia del usuario.

Contexto técnico

La vulnerabilidad se encuentra en la configuración del widget 'title_tag', donde no se valida adecuadamente la entrada del usuario. Esto permite que un atacante autenticado inserte código JavaScript que se ejecuta en el navegador de otros usuarios, facilitando ataques de XSS.

Impacto potencial

El impacto de esta vulnerabilidad puede incluir la manipulación de sesiones de usuario, robo de información sensible y una posible pérdida de confianza por parte de los visitantes. Aunque la severidad se clasifica como media, el riesgo se incrementa en entornos donde se permite la interacción de múltiples usuarios.

Vector de explotación

La explotación se realiza mediante la modificación del campo 'title_tag' en la configuración del widget, lo que provoca que el script malicioso se ejecute cuando otros usuarios acceden a la página afectada.

Mitigación recomendada

Actualizar el plugin a la versión 1.1.9 o superior para corregir la vulnerabilidad. Revisar y limpiar cualquier entrada de usuario en el widget 'title_tag' que pueda haber sido comprometida. Implementar medidas de seguridad adicionales, como Content Security Policy (CSP), para mitigar riesgos de XSS.

Señales de detección

Señales de riesgo incluyen logs de acceso inusuales donde se detecten cambios en la configuración del widget 'title_tag' y reportes de comportamiento extraño en el sitio web.

Alcance afectado

Las versiones afectadas son todas las versiones del plugin aThemes Addons for Elementor hasta la 1.1.8. Se recomienda a los usuarios que verifiquen si están utilizando estas versiones y actúen en consecuencia.