CVE-2024-1327: Luka w wtyczce Jeg Elementor Kit umożliwiająca trwały XSS

Co wiadomo

Wtyczka Jeg Elementor Kit dla WordPress do wersji 2.6.3 włącznie zawiera lukę typu Stored Cross-Site Scripting w widżecie image box, wynikającą z niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Luka pozwala na trwałe wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, defraudacji danych lub innych działań szkodliwych dla witryny i jej użytkowników. Operatorzy stron korzystających z tej wtyczki powinni traktować tę podatność jako istotne zagrożenie dla bezpieczeństwa i integralności swoich serwisów.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Jeg Elementor Kit i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie widżetu image box. Priorytetowo należy przeprowadzić audyt bezpieczeństwa i weryfikację wprowadzonych treści na stronie.

Źródła

• NVD
• Reference
• Reference