CVE-2024-2042: podatność Stored XSS w wtyczce ElementsKit Elementor Addons

Co wiadomo

Wtyczka ElementsKit Elementor Addons dla WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez widget Image Accordion w wersjach do 3.0.5 włącznie. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzykiwanie złośliwego kodu, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub dalszych ataków na użytkowników. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów korzystających ze stron opartych na WordPress z tą wtyczką.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki ElementsKit Elementor Addons u dostawcy i ich wdrożenie. W międzyczasie ogranicz dostęp do panelu administracyjnego tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Warto również przeprowadzić przegląd uprawnień użytkowników i usunąć niepotrzebne konta z poziomem współtwórcy lub wyższym.

Źródła

• NVD
• Reference
• Reference
• Reference