| Nombre del plugin | Royal Elementor Addons |
|---|---|
| Tipo de vulnerabilidad | Scripting entre sitios (XSS) |
| Número CVE | CVE-2026-0664 |
| Urgencia | Baja |
| Fecha de publicación de CVE | 2026-04-03 |
| URL de origen | CVE-2026-0664 |
Royal Elementor Addons <= 1.7.1049 — XSS almacenado de contribuyente autenticado a través de REST API Meta Bypass (CVE-2026-0664)
Como especialista en seguridad de Hong Kong con experiencia en la revisión de riesgos de plugins de WordPress y respuesta a incidentes, este aviso explica CVE-2026-0664, el impacto práctico para los propietarios y administradores de sitios, técnicas de detección, mitigaciones inmediatas y medidas defensivas a largo plazo. La vulnerabilidad permite a un Contribuyente autenticado persistir JavaScript a través del manejo de meta de REST API debido a una sanitización insuficiente. La explotación generalmente requiere que un usuario privilegiado renderice más tarde el contenido almacenado, por lo que el contexto importa, pero el XSS almacenado sigue siendo una técnica de alto riesgo para el compromiso de cuentas y la persistencia.
Resumen ejecutivo
- Lo que sucedió: Un fallo en el manejo de meta de REST API en Royal Elementor Addons permitió a los Contribuyentes almacenar HTML/JS arbitrario en campos de postmeta o meta de plugin sin la sanitización adecuada.
- Quién puede iniciarlo: Cualquier usuario autenticado con privilegios de Contribuyente en el sitio afectado.
- Impacto probable: XSS almacenado — el script malicioso persiste y se ejecuta cuando otro usuario (a menudo un Editor o Administrador) ve o interactúa con el contenido afectado. Los posibles resultados incluyen robo de sesión, compromiso de cuenta, acciones administrativas no autorizadas, desfiguración del sitio e instalación de puertas traseras.
- Remediación inmediata: Actualizar Royal Elementor Addons a la versión 1.7.1050 o posterior. Si no es posible una actualización inmediata, aplicar las mitigaciones a continuación (restringir la actividad del contribuyente, parcheo virtual a través de WAF o reglas del servidor, sanitizar meta sospechosa, auditar usuarios).
- A largo plazo: Hacer cumplir el principio de menor privilegio, sanitizar entradas, endurecer el acceso a la REST API, monitorear solicitudes sospechosas y scripts almacenados, y adoptar protecciones y monitoreo en capas.
Cómo funciona la vulnerabilidad (visión técnica de alto nivel)
El plugin expone puntos finales de REST que aceptan metadatos. Un fallo en el manejo de meta permitió que los valores proporcionados por el Contribuyente que contienen HTML y
