Analityczne wykorzystywanie plików cookies
CVE-2024-13649: podatność Xpro Addons for Elementor na przechowywany Cross-Site Scripting
Podatność CVE-2024-13649 w Xpro Addons for Elementor umożliwia przechowywany XSS. Sprawdź zalecenia bezpieczeństwa i aktualizuj wtyczkę.
- CVSS
- 6.4 MEDIUM
- EPSS
- 16.84%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- xpro addons for elementor
Co wiadomo
Wtyczka 140+ Widgets | Xpro Addons For Elementor dla WordPressa do wersji 1.4.6.7 zawiera lukę umożliwiającą przechowywany Cross-Site Scripting (XSS) przez niewystarczającą sanitację danych wejściowych i brak odpowiedniego zabezpieczenia wyjścia. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.
Wpływ biznesowy
Luka ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący mogą wykorzystać ją do kradzieży sesji, manipulacji zawartością strony lub rozprzestrzeniania złośliwego oprogramowania. Właściciele stron i administratorzy powinni traktować tę podatność jako istotne zagrożenie dla bezpieczeństwa CMS i użytkowników.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Xpro Addons for Elementor u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających, takich jak Web Application Firewall (WAF).