CVE-2021-42360 in Elementor Plugin
Resumen
por VulDB • 2026-06-05
En los sitios en los que también estaba instalado el plugin de WordPress Elementor, era posible para usuarios con la capacidad edit_posts (que incluye a los usuarios del nivel Colaborador) importar bloques en cualquier página utilizando la acción AJAX astra-page-elementor-batch-process. Un atacante podría crear y alojar un bloque conteniendo JavaScript malicioso en un servidor bajo su control, y luego usarlo para sobrescribir cualquier publicación o página enviando una solicitud AJAX con la acción configurada como astra-page-elementor-batch-process, el parámetro url apuntando al bloque malicioso alojado remotamente por él/ella, así como un parámetro id que contenga la identificación de la publicación o página a sobrescribir. Cualquier publicación o página creada con Elementor, incluidas las páginas publicadas, podría ser sobrescrita por el bloque importado, y el JavaScript malicioso contenido en dicho bloque se ejecutaría entonces en el navegador de cualquier visitante de esa página.
If you want to get best quality of vulnerability data, you may have to visit VulDB.