CVE-2024-13644: podatność Stored XSS w wtyczce DethemeKit for Elementor

Co wiadomo

Wtyczka DethemeKit for Elementor do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) w widżecie De Gallery we wszystkich wersjach do 2.1.8 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych użytkownika, co pozwala atakującym z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPressa. Może to prowadzić do przejęcia sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki bez aktualizacji zwiększa ryzyko ataków XSS na infrastrukturę webową.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki DethemeKit for Elementor i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie uprawnień użytkowników do niezbędnego minimum, monitorowanie logów pod kątem podejrzanej aktywności oraz przegląd i weryfikację zawartości stron korzystających z widżetu De Gallery. Priorytetem jest szybkie wdrożenie poprawek i minimalizacja ekspozycji na atak.

Źródła

• NVD
• Reference
• Reference