Exclusive Addons for Elementor <= 2.7.9.8 - Authenticated (Contributor+) Stored Cross-Site Scripting via 'exad_infobox_image' (Cross-Site Scripting (XSS)) - version 2.7.9.9

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Exclusive Addons for Elementor, afectando a versiones hasta la 2.7.9.8. Este fallo permite a usuarios autenticados con rol de contribuidor o superior inyectar scripts maliciosos, comprometiendo la seguridad del sitio web.

Contexto técnico

El vector de ataque se basa en la funcionalidad 'exad_infobox_image' del plugin, donde un atacante autenticado puede introducir código JavaScript a través de campos de entrada. Esta vulnerabilidad se activa en entornos donde los usuarios tienen permisos de contribuidor o superiores.

Impacto potencial

La explotación de esta vulnerabilidad puede permitir a un atacante ejecutar scripts en el navegador de otros usuarios, lo que podría resultar en el robo de información sensible o la manipulación del contenido del sitio. Esto puede afectar la reputación del negocio y la confianza de los usuarios.

Vector de explotación

La explotación se realiza mediante la inyección de código JavaScript en los campos de entrada del plugin, que luego se ejecuta en el contexto del navegador de otros usuarios.

Mitigación recomendada

Actualizar el plugin Exclusive Addons for Elementor a la versión 2.7.9.9 o superior. Revisar los permisos de usuario y restringir el acceso a roles no necesarios. Implementar medidas de seguridad adicionales, como un firewall de aplicaciones web (WAF).

Señales de detección

Revisar los logs de acceso en busca de patrones inusuales de inyección de scripts en los campos de entrada relacionados con 'exad_infobox_image'.

Alcance afectado

Las versiones afectadas son todas aquellas hasta la 2.7.9.8 del plugin Exclusive Addons for Elementor. No se han confirmado casos en versiones posteriores.