CVE-2024-12851: podatność Stored XSS w wtyczce Element Pack dla WordPress

Co wiadomo

Wtyczka Element Pack Elementor Addons (do wersji 5.10.14 włącznie) jest podatna na atak Stored Cross-Site Scripting poprzez parametr custom_attributes w widżecie Cookie Consent. Atakujący z uprawnieniami co najmniej Contributor mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin strony przez użytkowników.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami Contributor lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron opartych na WordPress z zainstalowaną tą wtyczką powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa i integralności witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Element Pack u dostawcy bdthemes i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie widżetu Cookie Consent. Dodatkowo warto przeprowadzić audyt bezpieczeństwa i edukować użytkowników o potencjalnych zagrożeniach XSS.

Źródła

• NVD
• Reference
• Reference