CVE-2024-2117: podatność Stored XSS w wtyczce Elementor Website Builder

Co wiadomo

Wtyczka Elementor Website Builder dla WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) w komponencie Path Widget w wersjach do 3.20.2 włącznie. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej na poziomie współpracownika wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających zainfekowane strony, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący mogą wykorzystać ją do kradzieży sesji, manipulacji treścią lub dalszej eskalacji uprawnień. Operatorzy stron opartych na WordPress z zainstalowanym Elementor powinni potraktować tę lukę jako istotne ryzyko dla bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Elementor i ich wdrożenie. W przypadku braku natychmiastowej możliwości aktualizacji, warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz przeprowadzić audyt zawartości stron pod kątem złośliwych skryptów. Priorytetowo traktuj działania minimalizujące ekspozycję na tę lukę.

Źródła

• NVD
• Reference
• Reference