CVE-2024-1500: podatność Stored XSS w Royal Elementor Addons

Co wiadomo

Wtyczka Royal Elementor Addons i Templates dla WordPress do wersji 1.3.91 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w widżecie Logo. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej na poziomie współpracownika wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych ataków skierowanych na użytkowników witryny. Operatorzy stron wykorzystujących tę wtyczkę powinni zwrócić uwagę na możliwość eskalacji zagrożeń poprzez wstrzyknięcie skryptów przez użytkowników z uprawnieniami współpracownika i wyższymi, co może wpłynąć na reputację i bezpieczeństwo serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Royal Elementor Addons i Templates u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów filtrowania i sanitizacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference