Una vulnerabilidad en el plugin Elementor Website Builder de WordPress permitiría a un atacante realizar ejecución de código JavaScript en el sistema afectado.

Recursos afectados:

Versiones anteriores a: Elementor Website Builder 3.5.6.

Descripción:

Se ha reportado un nuevo aviso de seguridad sobre una vulnerabilidad del tipo DOM-based Reflected Cross-Site Scripting (XSS) que afecta al plugin Elementor Website Builder de WordPress, que permitiría a un atacante realizar ejecución de código JavaScript en el sistema afectado. La vulnerabilidad, identificada como CVE-2022-29455, se considera de severidad alta aunque todavía está en investigación. Esta se debe a una falla en la comprobación de código del parámetro “type=video” específicamente dentro del parámetro "videoParams" en el complemento Elementor Website Builder de Wordpress. Actualmente para esta vulnerabilidad existen Pruebas de Concepto (PoC) publicados en Internet que permiten su explotación.

La explotación exitosa de la misma permitiría a un atacante realizar las siguientes acciones:

• Ejecución de código JavaScript.
• Captura de cookies.
• SOAP Bypass.
• CORS Bypass.
• Defacement.

Recomendaciones:

Actualizar a la última versión 3.5.6 disponible de Elementor Website Builder.

Referencias:

• https://www.cert.gov.py/application/files/2216/5592/5677/BOL-CERT-PY-2022-27_Vulnerabilidad_en_Wordpress.pdf
• https://patchstack.com/database/vulnerability/elementor/wordpress-elementor-plugin-3-5-5-unauthenticated-dom-based-reflected-cross-site-scripting-xss-vulnerability
• https://nvd.nist.gov/vuln/detail/CVE-2022-29455
• https://cve.mitre.org/cgi-bin/cvename.cgi?name=2022-29455
• https://wordpress.org/plugins/elementor/#developers