Analityczne wykorzystywanie plików cookies
CVE-2024-10325: podatność w Elementor Header & Footer Builder
Podatność XSS w Elementor Header & Footer Builder umożliwia ataki przez przesyłanie plików SVG. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 6.4 MEDIUM
- EPSS
- 21.05%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- elementor header \& footer builder
Co wiadomo
Wtyczka Elementor Header & Footer Builder dla WordPressa jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez przesyłanie plików SVG za pomocą REST API. Luka dotyczy wszystkich wersji do 1.6.45 włącznie i wynika z niewystarczającej sanitacji danych wejściowych oraz braku odpowiedniego zabezpieczenia wyjścia.
Wpływ biznesowy
Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas dostępu użytkowników do plików SVG, co może prowadzić do kradzieży danych sesji lub innych działań na kontach użytkowników. Organizacje korzystające z tej wtyczki powinny traktować tę lukę poważnie, zwłaszcza jeśli mają wielu użytkowników z uprawnieniami edytorskimi lub wyższymi.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Elementor Header & Footer Builder u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji przesyłania plików SVG, jeśli to możliwe.