Luka XSS w wtyczce Elementor Website Builder dla WordPress

Co wiadomo

Wtyczka Elementor Website Builder do WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametry border, margin i gap w wersjach do 3.27.4 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki znaków, co pozwala użytkownikom z uprawnieniami Contributor i wyższymi na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami Contributor lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub dalszych ataków na użytkowników i infrastrukturę. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa witryny i danych użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Elementor Website Builder i ich wdrożenie. W przypadku braku natychmiastowej aktualizacji należy ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto przeprowadzić przegląd i oczyszczenie istniejących stron pod kątem złośliwych skryptów oraz stosować zasady bezpiecznego kodowania i walidacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference