Analityczne wykorzystywanie plików cookies
CVE-2024-1238: podatność Stored Cross-Site Scripting w wtyczce ElementsKit Elementor Addons
Podatność Stored XSS w ElementsKit Elementor Addons do WordPressa pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami współtwórcy i wyższymi.
- CVSS
- 6.4 MEDIUM
- EPSS
- 27.54%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- elements kit elementor addons
Co wiadomo
Wtyczka ElementsKit Elementor Addons dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr button ID we wszystkich wersjach do 3.0.6 włącznie, z powodu niewystarczającej sanitacji i ucieczki danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach CMS opartych na WordPressie, gdzie ta wtyczka jest używana, ryzyko naruszenia integralności i bezpieczeństwa danych jest istotne.
Rekomendowane działania administratora
Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki ElementsKit Elementor Addons i zaktualizować ją do najnowszej dostępnej wersji, jeśli taka jest dostępna. W przypadku braku łatki zaleca się ograniczenie uprawnień użytkowników, przegląd logów pod kątem podejrzanych działań oraz monitorowanie stron pod kątem nieautoryzowanych zmian. Zalecane jest także śledzenie komunikatów producenta w celu uzyskania oficjalnych poprawek.