Fuente base de datos: Wordfence Intelligence

Ultimate Addons for Elementor <= 2.9.1 - Authenticated (Contributor+) Stored Cross-Site Scripting via Navigation Menu Widget data-toggle-icon/data-close-icon Attributes en Header Footer Elementor (Cross-Site Scripting (XSS)) - version 2.9.2

PLUGIN MEDIUM CVE-2026-15787

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna. Contenido informativo. No se distribuye software.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Ultimate Addons for Elementor, afectando a versiones hasta la 2.9.1. Este fallo permite a un atacante autenticado inyectar scripts maliciosos, lo que puede comprometer la integridad del sitio web y la seguridad de los usuarios.

Contexto técnico

La vulnerabilidad se origina en los atributos data-toggle-icon y data-close-icon del widget del menú de navegación. Un atacante con privilegios de contribuyente o superiores puede aprovechar esta debilidad para ejecutar código JavaScript arbitrario en el contexto del navegador de otros usuarios.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite la ejecución de scripts maliciosos que podrían robar información sensible o manipular la interfaz del usuario. Esto puede resultar en pérdida de confianza por parte de los usuarios y daños a la reputación del negocio.

Vector de explotación

La explotación generalmente requiere que el atacante tenga acceso autenticado al panel de administración de WordPress con un rol de contribuyente o superior, lo que limita el alcance a usuarios internos o colaboradores.

Mitigación recomendada

Actualizar el plugin Ultimate Addons for Elementor a la versión 2.9.2 o superior para corregir la vulnerabilidad. Revisar y restringir los permisos de usuario, limitando el acceso a roles que no necesiten privilegios elevados. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web (WAF), para mitigar riesgos de inyección de scripts.

Señales de detección

Revisar los logs de acceso en busca de patrones inusuales de actividad de usuarios con privilegios, así como cualquier cambio inesperado en el contenido del menú de navegación.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 2.9.2 del plugin Ultimate Addons for Elementor. No se han confirmado casos de explotación activa en versiones posteriores.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

header-footer-elementor