CVE-2024-2399: podatność Stored Cross-Site Scripting w Premium Addons for Elementor

Co wiadomo

Wtyczka Premium Addons for Elementor do WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) w wersjach do 4.10.23 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych w atrybutach widgetów, co pozwala uwierzytelnionym użytkownikom z uprawnieniami co najmniej na poziomie współpracownika na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami współpracownika lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony przez użytkowników. Może to prowadzić do kradzieży danych sesji, przejęcia kont lub innych działań naruszających bezpieczeństwo witryny. Luka dotyczy tylko wersji premium wtyczki, co ogranicza jej zasięg, ale nadal stanowi istotne ryzyko dla właścicieli stron korzystających z tego dodatku.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Premium Addons for Elementor i ich instalację. Jeśli aktualizacja nie jest dostępna, ogranicz dostęp do wtyczki tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Warto również rozważyć tymczasowe wyłączenie wtyczki premium, jeśli nie jest niezbędna.

Źródła

• NVD
• Reference
• Reference
• Reference