Analityczne wykorzystywanie plików cookies
CVE-2024-1364: podatność Stored Cross-Site Scripting w Elementor Pro
Elementor Pro do wersji 3.20.1 ma podatność Stored XSS umożliwiającą atakującym z uprawnieniami współtwórcy wstrzyknięcie skryptów.
- CVSS
- 6.4 MEDIUM
- EPSS
- 24.35%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- elementor pro
Co wiadomo
Wtyczka Elementor Website Builder Pro dla WordPressa do wersji 3.20.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr custom_id widgetu. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie i wykonanie złośliwych skryptów w kontekście przeglądarki użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Elementor Pro i ich wdrożenie. W przypadku braku natychmiastowej możliwości aktualizacji, ogranicz uprawnienia użytkowników do minimum niezbędnego oraz monitoruj logi pod kątem podejrzanych działań. Przeanalizuj i ogranicz ekspozycję serwisu na potencjalne ataki XSS.