CVE-2024-13548: podatność Stored XSS w wtyczce Power Ups for Elementor

Co wiadomo

Wtyczka Power Ups for Elementor dla WordPressa do wersji 1.2.2 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) w shortcode 'magic-button' z powodu niewystarczającej sanitacji i eskapowania danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych ataków skierowanych na użytkowników odwiedzających zainfekowane strony. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę poważnie, zwłaszcza jeśli mają wielu użytkowników z uprawnieniami edycji treści. Niezabezpieczone środowisko może narazić firmę na utratę zaufania klientów oraz potencjalne naruszenia danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Power Ups for Elementor i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode 'magic-button'. Regularne przeglądy bezpieczeństwa i edukacja użytkowników również pomogą ograniczyć ryzyko.

Źródła

• NVD
• Reference
• Reference
• Reference