Analityczne wykorzystywanie plików cookies
CVE-2024-10323: podatność Stored XSS w wtyczce JetWidgets for Elementor
Podatność Stored XSS w wtyczce JetWidgets for Elementor umożliwia ataki przez przesyłanie plików SVG. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 21.74%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- jetwidgets for elementor
Co wiadomo
Wtyczka JetWidgets for Elementor dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting poprzez przesyłanie plików SVG za pomocą REST API. Luka dotyczy wszystkich wersji do 1.0.18 włącznie i wynika z niewystarczającej sanitacji danych wejściowych oraz braku odpowiedniego zabezpieczenia wyjścia.
Wpływ biznesowy
Atakujący z uprawnieniami na poziomie autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które będą wykonywane przy każdym dostępie użytkownika do załadowanego pliku SVG. Może to prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla użytkowników i integralności strony. Właściciele stron i administratorzy powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa CMS.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki JetWidgets for Elementor u dostawcy Crocoblock i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych aktywności oraz rozważyć tymczasowe wyłączenie funkcji przesyłania plików SVG. Priorytetem jest szybka reakcja i minimalizacja ekspozycji na atak.