Fuente base de datos: Wordfence Intelligence

Xpro Addons — 140+ Widgets for Elementor <= 1.4.24 - Authenticated (Contributor+) Stored Cross-Site Scripting via Image Scroller Widget box link

PLUGIN MEDIUM CVE-2025-14149

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Xpro Addons para Elementor, que afecta a versiones anteriores a la 1.4.25. Esta vulnerabilidad permite la inyección de scripts maliciosos a través del widget de enlace de la caja del Image Scroller, lo que podría comprometer la seguridad del sitio web.

Contexto técnico

La vulnerabilidad se presenta en el componente Xpro Addons para Elementor, específicamente en la funcionalidad del widget de Image Scroller. Permite a un usuario autenticado con rol de colaborador o superior inyectar código JavaScript malicioso, lo que puede ser ejecutado en el navegador de otros usuarios que visiten la página afectada.

Impacto potencial

La explotación de esta vulnerabilidad podría resultar en la ejecución de scripts no autorizados en el contexto del navegador de un usuario, lo que podría llevar al robo de cookies, credenciales o realizar acciones en nombre del usuario sin su consentimiento. Esto puede comprometer gravemente la seguridad del sitio y la confianza de los usuarios.

Vector de explotación

El vector de explotación habitual implica que un atacante autenticado inserte un enlace malicioso en el widget del Image Scroller, que luego es visualizado por otros usuarios, ejecutando el script malicioso en sus navegadores.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Xpro Addons a la versión 1.4.25 o superior. Además, se sugiere revisar los permisos de los roles de usuario y aplicar prácticas de seguridad adicionales, como la validación y sanitización de entradas.

Señales de detección

Se pueden detectar intentos de explotación mediante la monitorización de logs de actividad, buscando patrones de inyección de scripts en las entradas del widget del Image Scroller o comportamientos inusuales en la interacción de los usuarios con el sitio.

Alcance afectado

Las versiones afectadas de este plugin son todas las anteriores a la 1.4.25. Se recomienda a los administradores de sitios que utilicen este plugin que verifiquen su versión y apliquen las actualizaciones necesarias.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

xpro-elementor-addons