Fuente base de datos: Wordfence Intelligence

Xpro Addons — 140+ Widgets for Elementor <= 1.4.20 - Authenticated (Contributor+) Stored Cross-Site Scripting

PLUGIN MEDIUM CVE-2025-13368

Fuente base: Wordfence Intelligence. Contenido enriquecido por IA con revisión editorial interna.

Resumen ejecutivo

Se ha identificado una vulnerabilidad de tipo Cross-Site Scripting (XSS) en el plugin Xpro Addons para Elementor, que afecta a versiones hasta la 1.4.20. Esta vulnerabilidad permite a usuarios autenticados con rol de contribuyente o superior inyectar scripts maliciosos.

Contexto técnico

La vulnerabilidad se origina en la forma en que el plugin maneja la entrada de datos, permitiendo que un atacante autenticado inserte código JavaScript que se almacena y se ejecuta en el navegador de otros usuarios. Esto se traduce en un riesgo de ejecución de scripts no deseados en el contexto del usuario afectado.

Impacto potencial

La explotación de esta vulnerabilidad podría comprometer la seguridad de los usuarios del sitio, permitiendo el robo de información sensible o la manipulación del contenido del sitio. Esto puede tener repercusiones negativas en la reputación del negocio y en la confianza de los usuarios.

Vector de explotación

Generalmente, la explotación se realiza mediante la creación de contenido malicioso que se almacena en el sistema y se presenta a otros usuarios, lo que requiere que el atacante tenga acceso como usuario autenticado con privilegios adecuados.

Mitigación recomendada

Actualizar el plugin Xpro Addons a la versión 1.4.21 o superior. Además, se recomienda revisar y sanitizar las entradas de los usuarios para prevenir inyecciones de código malicioso en el futuro.

Señales de detección

Señales de riesgo incluyen la presencia de scripts no autorizados en las páginas generadas por el plugin o actividad sospechosa de usuarios autenticados que intentan modificar contenido.

Alcance afectado

Todas las instalaciones que utilicen el plugin Xpro Addons para Elementor en versiones hasta la 1.4.20 están potencialmente afectadas.

Vulnerabilidades relacionadas

MEDIUM PLUGIN

xpro-elementor-addons