Move Addons for Elementor: podatność na przechowywany Cross-Site Scripting

Co wiadomo

Wtyczka Move Addons for Elementor do WordPressa jest podatna na przechowywany Cross-Site Scripting (XSS) w infoboxie i widżecie przycisku we wszystkich wersjach do 1.2.9 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych dostarczanych przez użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzenia zainfekowanej strony przez innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Organizacje korzystające z tej wtyczki powinny traktować tę lukę poważnie, zwłaszcza w środowiskach z wieloma użytkownikami.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Move Addons for Elementor do najnowszej wersji udostępnionej przez producenta. W przypadku braku dostępnej łatki, ogranicz dostęp do funkcji edycji dla użytkowników o niższych uprawnieniach, przeglądaj logi pod kątem podejrzanych działań oraz monitoruj strony pod kątem nieautoryzowanych zmian. Warto również rozważyć wdrożenie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference