CVE-2024-10980: podatność w wtyczce Element Pack dla WordPress

Co wiadomo

Wtyczka Element Pack Elementor Addons w wersjach przed 5.10.3 nieprawidłowo waliduje i nie zabezpiecza niektórych opcji bloku Cookie Consent, co umożliwia użytkownikom z rolą współautora i wyższą przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS).

Wpływ biznesowy

Podatność może pozwolić na wykonanie złośliwego kodu JavaScript przez użytkowników z uprawnieniami współautora i wyższymi, co zagraża bezpieczeństwu witryny i jej użytkowników. Może to prowadzić do kradzieży danych sesji, manipulacji treścią strony lub innych działań szkodliwych dla integralności i reputacji serwisu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Element Pack i jej instalację do wersji 5.10.3 lub nowszej. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz uprawnienia użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Przeanalizuj konfigurację bloków Cookie Consent i rozważ ich tymczasowe wyłączenie.

Źródła

• NVD
• Reference