Analityczne wykorzystywanie plików cookies
WDesignKit – Elementor & Gutenberg Starter Templates podatny na Stored Cross-Site Scripting
WDesignKit do WordPress ma lukę Stored XSS w wersjach do 1.2.3. Aktualizuj wtyczkę i ogranicz uprawnienia, by zabezpieczyć stronę.
- CVSS
- 6.4 MEDIUM
- EPSS
- 14.14%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
WDesignKit – Elementor & Gutenberg Starter Templates, Patterns, Cloud Workspace & Widget Builder dla WordPress jest podatny na atak Stored Cross-Site Scripting (XSS) poprzez niestandardowe widgety w wersjach do 1.2.3 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, co pozwala użytkownikom z uprawnieniami Contributor i wyższymi na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z uprawnieniami Contributor lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach WordPress wykorzystujących ten plugin istnieje ryzyko naruszenia integralności i bezpieczeństwa treści oraz reputacji witryny.
Rekomendowane działania administratora
Zaleca się jak najszybsze zaktualizowanie wtyczki do wersji nowszej niż 1.2.3, jeśli jest dostępna. W przypadku braku aktualizacji należy rozważyć usunięcie lub dezaktywację wtyczki oraz ograniczenie uprawnień użytkowników do niezbędnego minimum. Dodatkowo warto przejrzeć i oczyścić istniejące niestandardowe widgety oraz monitorować logi pod kątem podejrzanej aktywności.