Fuente base de datos: Wordfence Intelligence

Unlimited Elements For Elementor and Unlimited Elements For Elementor (Premium) <= 2.0 - Unauthenticated Stored Cross-Site Scripting via SVG File Upload

PLUGIN HIGH CVE-2025-13692

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin 'Unlimited Elements For Elementor' y su versión Premium, que permite la ejecución de código malicioso a través de la carga de archivos SVG. Esta vulnerabilidad afecta a las versiones hasta la 2.0 y tiene una severidad alta con un CVSS de 7.2.

Contexto técnico

La vulnerabilidad se presenta como un XSS almacenado no autenticado, lo que significa que un atacante puede cargar un archivo SVG malicioso que será almacenado en el servidor y ejecutado por otros usuarios que accedan a la página afectada. Esto se debe a la falta de validación adecuada de los archivos subidos.

Impacto potencial

El impacto de esta vulnerabilidad puede ser significativo, ya que permite a un atacante ejecutar scripts arbitrarios en el contexto del navegador de otros usuarios, lo que podría llevar al robo de información sensible, suplantación de identidad o redirección a sitios maliciosos. Esto podría dañar la reputación de la empresa y la confianza de los usuarios.

Vector de explotación

La explotación se lleva a cabo mediante la carga de un archivo SVG malicioso a través de la funcionalidad de carga del plugin, sin requerir autenticación previa. Una vez cargado, el script puede ser ejecutado por cualquier usuario que visite la página donde se muestra el contenido afectado.

Mitigación recomendada

Para mitigar esta vulnerabilidad, se recomienda actualizar el plugin a la versión 2.0.1 o superior. Además, se sugiere implementar medidas de seguridad adicionales, como la validación de archivos subidos y la desactivación de la carga de tipos de archivo potencialmente peligrosos.

Señales de detección

Las señales de riesgo incluyen la presencia de archivos SVG no autorizados en el servidor y comportamientos inusuales en la interacción de los usuarios con el sitio, como redirecciones inesperadas o aparición de contenido no deseado.

Alcance afectado

Las versiones afectadas son todas las versiones hasta la 2.0 del plugin 'Unlimited Elements For Elementor' y su versión Premium. La vulnerabilidad fue publicada el 26 de noviembre de 2025.