WBase de Datos de Vulnerabilidades de WordPress

Advertencia de la comunidad XSS en Themesflat Elementor Addons (CVE20244212)

Cross Site Scripting (XSS) en el plugin de temas de WordPress flat-addons-for-elementor
0
Compartidos
0
0
0
0
Nombre del plugin themesflat-addons-for-elementor
Tipo de vulnerabilidad Scripting entre sitios (XSS)
Número CVE CVE-2024-4212
Urgencia Medio
Fecha de publicación de CVE 2026-02-02
URL de origen CVE-2024-4212






themesflat-addons-for-elementor — Reflected XSS (CVE-2024-4212) — Hong Kong Security Advisory


themesflat-addons-for-elementor — XSS reflejado (CVE-2024-4212)

Autor: Experto en Seguridad de Hong Kong — asesoría y orientación operativa para administradores de sitios y desarrolladores.

Resumen ejecutivo

El 2026-02-02 se publicó una vulnerabilidad de Cross‑Site Scripting (XSS) que afecta al plugin de WordPress themesflat-addons-for-elementor como CVE-2024-4212. El problema es un XSS reflejado/basado en DOM causado por una validación de entrada insuficiente y un escape de salida inadecuado en uno o más widgets proporcionados por el plugin. Un atacante puede crear una URL o entrada controlada por el usuario que, al ser renderizada por el navegador de una víctima, resulta en la ejecución de JavaScript arbitrario en el contexto del sitio vulnerable.

Impacto: robo de sesión, toma de control de cuenta (si se engaña a usuarios privilegiados), desfiguración persistente cuando se combina con contextos almacenados, y orientación a usuarios a través de enlaces de phishing. Calificado Medio severidad basada en los metadatos de CVE y consideraciones de explotabilidad.

Detalles técnicos (conciso)

  • Clase de vulnerabilidad: Cross‑Site Scripting (reflejado / DOM).
  • Causa raíz: falla en sanitizar y escapar adecuadamente la entrada controlada por el usuario antes de insertarla en HTML o atributos renderizados por los widgets de Elementor.
  • Vectores probables: parámetros de consulta, configuraciones de widgets que aceptan texto libre o valores de URL, y atributos que se imprimen en el marcado sin esc_html/esc_attr o un filtrado wp_kses adecuado.
  • Explotabilidad: requiere que la víctima visite una URL creada o interactúe con contenido que refleja la entrada proporcionada por el atacante; la ingeniería social es un mecanismo de entrega probable.

Versiones afectadas

Todas las versiones conocidas que no contienen la solución del proveedor están afectadas. Los administradores deben consultar el registro de cambios del plugin o la página del repositorio del plugin para identificar la versión corregida. Si no puede determinar la versión segura, asuma que su instalación actual está afectada hasta que se demuestre lo contrario.

Detección e indicadores de compromiso

  • Etiquetas inusuales