CVE-2024-1428: podatność Stored XSS w wtyczce Element Pack dla WordPress

Co wiadomo

Wtyczka Element Pack Elementor Addons do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez atrybut 'element_pack_wrapper_link' w widżecie Trailer Box. Luka dotyczy wszystkich wersji do 5.5.3 włącznie i wynika z niewystarczającej sanitacji danych wejściowych oraz braku odpowiedniego escapingu wyjścia.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami co najmniej na poziomie współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanych stron. Może to prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Element Pack u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych aktywności oraz przeprowadzić przegląd i oczyszczenie potencjalnie zainfekowanych stron. Priorytetowo należy zabezpieczyć środowisko przed eskalacją skutków ataku.

Źródła

• NVD
• Reference
• Reference
• Reference