Analityczne wykorzystywanie plików cookies
CVE-2024-1521: Luka w Elementor Pro umożliwiająca Stored Cross-Site Scripting
Elementor Pro do wersji 3.20.1 ma lukę Stored XSS przez pliki SVGZ na serwerach NGINX. Zalecane szybkie aktualizacje i monitorowanie.
- CVSS
- 6.4 MEDIUM
- EPSS
- 24.35%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- elementor pro
Co wiadomo
Wtyczka Elementor Website Builder Pro dla WordPressa do wersji 3.20.1 włącznie zawiera lukę umożliwiającą atak Stored Cross-Site Scripting poprzez przesłanie pliku SVGZ za pomocą widgetu Formularz. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala atakującym z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron, co może prowadzić do kradzieży danych użytkowników lub przejęcia sesji. Luka jest istotna dla serwerów WWW działających na NGINX, co wymaga szczególnej uwagi administratorów tych środowisk.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Elementor Pro i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć ograniczenie możliwości przesyłania plików SVGZ. Priorytetowo traktuj aktualizacje i audyt środowisk z serwerami NGINX.