CVE-2024-2335: Wrażliwość Stored XSS w wtyczce Elements Plus! dla WordPress

Co wiadomo

Wtyczka Elements Plus! dla WordPress do wersji 2.16.2 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez wiele linków w widgetach z powodu niewystarczającej sanitacji i ucieczki danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność pozwala na wstrzyknięcie i wykonanie złośliwych skryptów w kontekście strony WordPress, co może prowadzić do kradzieży sesji, manipulacji treścią lub dalszych ataków na użytkowników. Operatorzy stron wykorzystujących tę wtyczkę powinni rozważyć ryzyko związane z uprawnieniami użytkowników i potencjalnym wpływem na reputację oraz bezpieczeństwo danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Elements Plus! u jej dostawcy oraz ich wdrożenie. W międzyczasie ogranicz uprawnienia użytkowników do niezbędnego minimum, monitoruj logi pod kątem podejrzanych działań i rozważ zastosowanie dodatkowych mechanizmów filtrowania wejścia oraz zabezpieczeń aplikacji webowych.

Źródła

• NVD
• Reference
• Reference