Fuente base de datos: Wordfence Intelligence

Xpro Addons — 140+ Widgets for Elementor <= 1.4.24 - Authenticated (Contributor+) Stored Cross-Site Scripting via Icon Box Widget

PLUGIN MEDIUM CVE-2026-2949

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Xpro Addons para Elementor, que afecta a las versiones hasta la 1.4.24. Este fallo permite a usuarios autenticados con rol de 'Contribuidor' o superior inyectar scripts maliciosos a través del widget Icon Box.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja la entrada de datos en el widget Icon Box. Al no validar adecuadamente el contenido ingresado, un atacante podría inyectar código JavaScript que se ejecutaría en el navegador de otros usuarios que visualicen la página afectada.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts en el contexto del navegador de otros usuarios, lo que podría llevar al robo de información sensible o a la manipulación de la sesión del usuario. Esto podría afectar la reputación del sitio y la confianza de los usuarios.

Vector de explotación

Generalmente, la explotación se lleva a cabo mediante la creación de contenido malicioso que se inserta en el widget Icon Box. Un usuario con permisos adecuados podría publicar este contenido, lo que desencadenaría el ataque cuando otros usuarios accedan a la página.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin Xpro Addons a la versión 1.4.25 o superior. Además, se deben revisar los permisos de los usuarios y aplicar prácticas de validación y sanitización de entradas en todos los componentes del sitio.

Señales de detección

Señales de explotación pueden incluir la presencia de scripts inusuales en las páginas generadas por el widget Icon Box, así como actividad sospechosa en los registros de acceso que indique que un usuario con rol de 'Contribuidor' ha realizado cambios en el contenido.

Alcance afectado

Las versiones afectadas son todas las anteriores a la 1.4.25 del plugin Xpro Addons para Elementor.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

xpro-elementor-addons