Fuente base de datos: Wordfence Intelligence

Essential Addons for Elementor <= 6.6.11 - Authenticated (Contributor+) Stored Cross-Site Scripting via Reading Progress Global Color Settings en Essential Addons FOR Elementor Lite (Cross-Site Scripting (XSS)) - version 6.7.0

PLUGIN MEDIUM CVE-2026-15156

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Essential Addons for Elementor, afectando a versiones hasta la 6.6.11. Esta falla permite a usuarios autenticados con rol de contribuyente o superior inyectar scripts maliciosos, lo que podría comprometer la seguridad del sitio.

Contexto técnico

La vulnerabilidad se encuentra en la funcionalidad de configuración de color global de progreso de lectura del plugin. Un atacante con acceso autenticado puede manipular esta configuración para inyectar código JavaScript, afectando a otros usuarios que visiten la página.

Impacto potencial

La explotación de esta vulnerabilidad puede llevar a la ejecución de scripts maliciosos en el navegador de los usuarios, comprometiendo la integridad de los datos y la confianza en el sitio. Esto podría resultar en pérdida de información sensible o en la redirección de usuarios a sitios no seguros.

Vector de explotación

Generalmente, el ataque se realiza mediante la modificación de las configuraciones de progreso de lectura por parte de un usuario autenticado, seguido de la visualización de la página afectada por otros usuarios.

Mitigación recomendada

Actualizar el plugin Essential Addons for Elementor a la versión 6.7.0 o superior para corregir la vulnerabilidad. Revisar los permisos de los roles de usuario en el sitio para limitar el acceso a funciones críticas. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web, para protegerse contra inyecciones de scripts.

Señales de detección

Monitorear los logs de acceso en busca de actividades inusuales por parte de usuarios autenticados, especialmente en las configuraciones del plugin. Revisar cambios no autorizados en las configuraciones de color de progreso de lectura.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 6.7.0 del plugin Essential Addons for Elementor. No se han reportado casos de explotación en versiones posteriores.