CVE-2024-1429: podatność Element Pack na przechowywany XSS

Co wiadomo

Wtyczka Element Pack Elementor Addons dla WordPress (do wersji 5.6.0 włącznie) zawiera podatność na przechowywany Cross-Site Scripting (XSS) w atrybucie 'tab_link' widgetu Panel Slider. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych wykonywanych w kontekście przeglądarki ofiary. Administratorzy stron korzystających z tej wtyczki powinni traktować ją jako istotne zagrożenie, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie uprawnień.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Element Pack i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie podatnych funkcji. Regularna weryfikacja i audyt bezpieczeństwa wtyczek WordPress jest kluczowa.

Źródła

• NVD
• Reference
• Reference