Analityczne wykorzystywanie plików cookies
CVE-2024-10308: Luka w wtyczce Jeg Elementor Kit umożliwiająca Stored XSS
Wtyczka Jeg Elementor Kit do WordPressa ma lukę Stored XSS umożliwiającą ataki przez widżet Countdown. Zalecane aktualizacje i ograniczenia uprawnień.
- CVSS
- 6.4 MEDIUM
- EPSS
- 22.82%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- jeg elementor kit
Co wiadomo
Wtyczka Jeg Elementor Kit dla WordPressa do wersji 2.6.9 włącznie zawiera lukę Stored Cross-Site Scripting w widżecie JKit - Countdown. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać i wykonywać złośliwe skrypty w kontekście strony, co może prowadzić do kradzieży sesji, manipulacji treścią lub dalszych ataków na użytkowników. Właściciele stron korzystających z tej wtyczki powinni rozważyć ryzyko naruszenia integralności i bezpieczeństwa danych oraz reputacji serwisu.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Jeg Elementor Kit u dostawcy oraz jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie widżetu JKit - Countdown. Priorytetowo traktuj aktualizacje i audyt bezpieczeństwa CMS.