CVE-2024-11180: podatność Stored XSS w wtyczce ElementsKit Elementor addons

Co wiadomo

Wtyczka ElementsKit Elementor addons dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr Countdown Timer Widget ekit_countdown_timer_title w wersjach do 3.4.7 włącznie. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współpracownika lub wyższymi wstrzyknięcie i wykonanie złośliwego kodu JavaScript w kontekście strony, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach WordPress z wieloma użytkownikami i różnymi poziomami dostępu ryzyko eskalacji szkód jest istotne.

Rekomendowane działania administratora

Administratorzy powinni jak najszybciej zweryfikować dostępność aktualizacji wtyczki ElementsKit Elementor addons i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie uprawnień użytkowników do minimum, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie stron pod kątem nieautoryzowanych zmian. Warto również rozważyć wdrożenie dodatkowych mechanizmów filtrowania i sanitizacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference
• Reference