Fuente base de datos: Wordfence Intelligence

Essential Addons for Elementor <= 6.6.11 - Authenticated (Contributor+) Stored Cross-Site Scripting via Fancy Text Widget en Essential Addons FOR Elementor Lite (Cross-Site Scripting (XSS)) - version 6.7.0

PLUGIN MEDIUM CVE-2026-15145

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Essential Addons para Elementor, afectando a versiones hasta la 6.6.11. Esta falla permite la inyección de scripts maliciosos, lo que puede comprometer la seguridad del sitio y la información de los usuarios.

Contexto técnico

La vulnerabilidad se presenta en el widget Fancy Text del plugin Essential Addons, permitiendo a usuarios autenticados con rol de 'Contributor' o superior inyectar código JavaScript. La superficie de ataque es accesible a través de la interfaz de administración del plugin, facilitando la explotación por parte de usuarios malintencionados.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de scripts en el contexto del navegador de otros usuarios, potencialmente robando información sensible o realizando acciones no autorizadas en nombre de los usuarios afectados. Esto puede afectar la reputación del negocio y la confianza de los clientes.

Vector de explotación

La explotación se realiza mediante la creación de contenido que incluya scripts maliciosos a través del widget Fancy Text, afectando a cualquier usuario que visualice dicho contenido en el frontend del sitio.

Mitigación recomendada

Actualizar el plugin Essential Addons para Elementor a la versión 6.7.0 o superior. Revisar y limpiar el contenido existente que pueda haber sido afectado por la inyección de scripts. Implementar medidas de seguridad adicionales, como la validación de entrada y la sanitización de datos en todas las áreas del sitio.

Señales de detección

Revisar los logs de acceso para detectar actividad inusual por parte de usuarios autenticados, así como buscar cambios no autorizados en el contenido del widget Fancy Text.

Alcance afectado

Las versiones del plugin Essential Addons para Elementor hasta la 6.6.11 están afectadas. No se han confirmado casos en versiones posteriores a la 6.7.0.