CVE-2024-1055: podatność Stored XSS w wtyczce PowerPack Addons for Elementor

Co wiadomo

Wtyczka PowerPack Addons for Elementor dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) w wersjach do 2.7.14 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych w adresach URL dostarczanych przez użytkowników, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu, który będzie wykonywany podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki w środowiskach produkcyjnych wymaga uwagi i szybkiej reakcji.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki PowerPack Addons for Elementor i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji przyjmujących dane URL. Priorytetowo traktuj przegląd i aktualizację komponentów WordPressa oraz wtyczek.

Źródła

• NVD
• Reference
• Reference
• Reference