Urgent Security Advisory: Stored XSS via SVG Upload in “Unlimited Elements for Elementor”

Fecha: 2025-11-27  |  Autor: Experto en seguridad de Hong Kong

This advisory describes a stored Cross-Site Scripting (XSS) vulnerability (unauthenticated) in the “Unlimited Elements for Elementor” plugin affecting versions ≤ 2.0. The issue can be triggered by uploading a crafted SVG which, when stored and served, executes arbitrary JavaScript in visitors’ browsers. The vendor released a fix in 2.0.1. Trate esto como una ventana de parcheo de alta prioridad: los escáneres automatizados y los atacantes oportunistas escanean rápidamente en busca de tales exposiciones.

Resumen rápido (para propietarios de sitios ocupados)

• Vulnerabilidad: XSS almacenado a través de la carga de SVG que afecta a Unlimited Elements for Elementor ≤ 2.0.
• Solucionado en 2.0.1 — actualice inmediatamente donde sea posible.
• Si la aplicación del parche se retrasa: desactive las cargas de SVG, elimine los SVG no confiables de las cargas y despliegue reglas de WAF de inspección de contenido para bloquear marcadores SVG ejecutables.
• Rote las credenciales de administrador, revise los registros en busca de cargas sospechosas y siga los pasos de detección y recuperación a continuación si se sospecha de un compromiso.

¿Cuál es la vulnerabilidad (nivel alto)?

SVG is XML and can include executable constructs (scripts, event attributes, embedded HTML). When an application accepts SVG uploads without robust sanitization and later serves them (inline or in pages), the uploaded data becomes a stored XSS vector. This issue allows an unauthenticated attacker to upload a crafted SVG containing executable payloads; any visitor loading the page that includes that SVG may execute the attacker’s JavaScript.

Causas raíz (típicas)

• Permitir cargas de archivos no autenticadas o insuficientemente restringidas.
• Insufficient server‑side sanitization of SVG content (failure to strip scripts, on* attributes, ).
• Servir SVGs en línea o con encabezados que permiten la ejecución en el contexto de la página.
• Control de acceso insuficiente en los puntos finales de carga.

Por qué los SVG son arriesgados

SVG no es un formato de imagen pasivo. Es XML que soporta:

• Revisa Mi Pedido

  0

  Subtotal

  Impuestos y envío calculados en la caja

  Pagar