CVE-2024-2137: podatność Stored XSS w wtyczce All-in-One Addons for Elementor

Co wiadomo

Wtyczka All-in-One Addons for Elementor – WidgetKit dla WordPressa do wersji 2.5.1 zawiera podatność Stored Cross-Site Scripting w wielu widgetach cenowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem na poziomie współtwórcy wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub manipulacji zawartością strony. Może to negatywnie wpłynąć na reputację firmy oraz bezpieczeństwo jej klientów i pracowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i jej wdrożenie. W międzyczasie ogranicz dostęp do panelu WordPressa tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Przeanalizuj konfigurację i rozważ tymczasowe wyłączenie podatnych widgetów, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference