CVE-2024-2249: podatność Stored Cross-Site Scripting w wtyczce LA-Studio Element Kit for Elementor

Co wiadomo

Wtyczka LA-Studio Element Kit for Elementor do WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez atrybut LinkWrapper w kilku widgetach we wszystkich wersjach do 1.3.7.4 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które będą wykonywane przy każdym dostępie do zainfekowanej strony. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki bez aktualizacji zwiększa ryzyko naruszenia bezpieczeństwa witryny WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki LA-Studio Element Kit for Elementor i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie podatnych widgetów. Regularne przeglądy bezpieczeństwa i edukacja użytkowników o ryzyku XSS są również wskazane.

Źródła

• NVD
• Reference
• Reference