Fuente base de datos: Wordfence Intelligence

Freemius SDK <= 2.5.9 - Reflected Cross-Site Scripting via fs_request_get

PLUGIN MEDIUM CVE-2023-33999

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Addon Elements for Elementor Page Builder', específicamente en la versión del SDK de Freemius hasta la 2.5.9. Esta vulnerabilidad puede permitir a un atacante inyectar scripts maliciosos en las páginas afectadas.

Contexto técnico

El fallo se origina en la función 'fs_request_get' del SDK de Freemius, que no valida adecuadamente las entradas, permitiendo que se realicen inyecciones de código JavaScript. Esto se traduce en un riesgo para la superficie de ataque de las instalaciones que utilizan este plugin, ya que puede afectar a cualquier usuario que visite la página comprometida.

Impacto potencial

La explotación de esta vulnerabilidad puede resultar en el robo de información sensible, manipulación del contenido de la página o redirección a sitios maliciosos. Esto no solo afecta la seguridad de los usuarios, sino que también puede dañar la reputación del negocio y la confianza del cliente.

Vector de explotación

Los atacantes suelen aprovechar esta vulnerabilidad enviando solicitudes maliciosas que incluyen código JavaScript en parámetros no validados, lo que permite la ejecución de scripts en el navegador de la víctima al cargar la página afectada.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 1.12 o posterior. Además, se sugiere implementar medidas de seguridad adicionales, como la validación de entradas y el uso de Content Security Policy (CSP) para limitar la ejecución de scripts no autorizados.

Señales de detección

Las señales de riesgo incluyen la detección de solicitudes inusuales que contienen parámetros sospechosos, así como la identificación de comportamientos anómalos en los registros de acceso y en la actividad de los usuarios.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.12 del plugin 'Addon Elements for Elementor Page Builder' que utilizan el SDK de Freemius hasta la versión 2.5.9.