CVE-2024-1426: podatność Element Pack na przechowywany XSS

Co wiadomo

Wtyczka Element Pack Elementor Addons dla WordPressa do wersji 5.6.0 zawiera podatność na przechowywany Cross-Site Scripting (XSS) w atrybucie 'link' widgetu Price List. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący mogą wykorzystać ją do kradzieży sesji, manipulacji zawartością strony lub rozprzestrzeniania złośliwego oprogramowania. Operatorzy stron powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa środowiska WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Element Pack u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić przegląd i oczyszczenie zawartości stron z potencjalnych złośliwych skryptów.

Źródła

• NVD
• Reference
• Reference