CVE-2024-2308: podatność Stored XSS w wtyczce ElementInvader Addons for Elementor

Co wiadomo

Wtyczka ElementInvader Addons for Elementor do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez link przycisku w EliSlider we wszystkich wersjach do 1.2.2 włącznie. Problem wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej współtwórcy.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy CMS powinni traktować tę lukę jako średniego ryzyka, szczególnie w środowiskach z wieloma użytkownikami o podwyższonych uprawnieniach.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki ElementInvader Addons for Elementor i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, szczególnie dla ról z możliwością edycji treści. Dodatkowo warto monitorować logi pod kątem podejrzanych aktywności oraz przeglądać i weryfikować wprowadzane treści pod kątem obecności złośliwych skryptów.

Źródła

• NVD
• Reference
• Reference