CVE-2024-1237: podatność w wtyczce Elementor Header & Footer Builder

Co wiadomo

Wtyczka Elementor Header & Footer Builder dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez atrybut flyout_layout we wszystkich wersjach do 1.6.24 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego zabezpieczenia wyjścia, co pozwala uwierzytelnionym użytkownikom z uprawnieniami co najmniej kontrybutora na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem kontrybutora lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanych stron, co może prowadzić do kradzieży danych sesji lub innych działań szkodliwych dla użytkowników i administratorów. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa witryny i danych użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Elementor Header & Footer Builder u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji umożliwiających edycję nagłówków i stopki przez użytkowników z uprawnieniami kontrybutora i wyższymi.

Źródła

• NVD
• Reference
• Reference
• Reference