Fuente base de datos: Wordfence Intelligence

Royal Elementor Addons <= 1.7.1049 - Authenticated (Contributor+) Stored Cross-Site Scripting via REST API Meta Bypass

PLUGIN MEDIUM CVE-2026-0664

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Royal Elementor Addons, que afecta a las versiones hasta la 1.7.1049. Esta falla permite a usuarios autenticados con rol de contribuyente o superior inyectar scripts maliciosos a través de la API REST.

Contexto técnico

La vulnerabilidad se origina en un bypass de la validación de metadatos en la API REST del plugin. Esto permite que los datos no sean adecuadamente sanitizados, lo que facilita la inyección de código JavaScript malicioso en el contenido que se procesa y se muestra a otros usuarios.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a atacantes con permisos limitados ejecutar scripts en el navegador de otros usuarios, lo que podría resultar en el robo de información sensible o la manipulación de la experiencia del usuario en el sitio web.

Vector de explotación

Los atacantes suelen explotar esta vulnerabilidad enviando solicitudes a la API REST con datos manipulados, lo que les permite insertar scripts maliciosos que se ejecutan en el contexto de otros usuarios que visualizan el contenido afectado.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Royal Elementor Addons a la versión 1.7.1050 o superior. Además, se sugiere revisar y reforzar las políticas de permisos de usuario para limitar el acceso a funciones críticas del sitio.

Señales de detección

Señales de posible explotación incluyen la aparición de scripts no autorizados en el contenido del sitio, así como actividad sospechosa en los logs de la API REST que indique intentos de inyección de código.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.7.1050 del plugin Royal Elementor Addons.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

royal-elementor-addons