CVE-2024-11937: podatność Stored XSS w Premium Addons for Elementor

Co wiadomo

Wtyczka Premium Addons for Elementor dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) w elemencie Mobile Menu, co umożliwia uwierzytelnionym użytkownikom z uprawnieniami co najmniej kontrybutora wstrzyknięcie złośliwych skryptów. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych w atrybucie linkURL.

Wpływ biznesowy

Podatność ta może pozwolić atakującym na wykonanie złośliwego kodu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy stron opartych na WordPress z tą wtyczką powinni traktować tę lukę jako istotne ryzyko dla bezpieczeństwa aplikacji i danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Premium Addons for Elementor u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference