Vulnerabilidad en Elementor Website Builder – More Than Just Page Builder para WordPress (CVE-2025-4566)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-79
Neutralización incorrecta de la entrada durante la generación de la página web (Cross-site Scripting)
Fecha de publicación:
29/07/2025
Última modificación:
29/07/2025
Descripción
El complemento Elementor Website Builder – More Than Just Page Builder para WordPress es vulnerable a Cross-Site Scripting almacenado a través del atributo del elemento DOM data-text del widget Ruta de texto en todas las versiones hasta la 3.30.2 incluida, debido a una depuración de entrada y un escape de salida insuficientes. Esto permite a atacantes autenticados, con acceso de colaborador o superior, inyectar scripts web arbitrarios en las páginas que se ejecutarán al acceder un usuario a una página inyectada. Este ataque afecta únicamente a los navegadores Chrome/Edge.
Impacto
Puntuación base 3.x
6.40
Gravedad 3.x
MEDIA
Referencias a soluciones, herramientas e información
- https://plugins.trac.wordpress.org/browser/elementor/tags/3.28.4/assets/js/text-path.acb8842ac7e1cd1dfb44.bundle.js#L147
- https://plugins.trac.wordpress.org/browser/elementor/tags/3.28.4/assets/js/text-path.acb8842ac7e1cd1dfb44.bundle.js#L190
- https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3332337%40elementor&new=3332337%40elementor
- https://www.wordfence.com/threat-intel/vulnerabilities/id/af29ec92-5b07-4f57-a25f-19f3a894a193?source=cve