CVE-2024-1393: podatność Stored XSS w wtyczce Elementor Addon Elements

Co wiadomo

Wtyczka Elementor Addon Elements dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez atrybut 'icon_align' widgetu Content Switcher w wersjach do 1.12.12 włącznie. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji, deface'u strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy stron opartych na WordPress z tą wtyczką powinni traktować tę lukę poważnie, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Elementor Addon Elements u dostawcy oraz jej instalację. W przypadku braku łatki, ograniczenie uprawnień użytkowników do niezbędnego minimum, przegląd i monitorowanie logów pod kątem podejrzanej aktywności oraz ograniczenie ekspozycji podatnych stron. Warto również przeprowadzić audyt bezpieczeństwa i edukację użytkowników o ryzyku XSS.

Źródła

• NVD
• Reference
• Reference
• Reference