CVE-2024-2666: podatność w Premium Addons for Elementor

Co wiadomo

Wtyczka Premium Addons for Elementor do WordPressa jest podatna na DOM-Based Stored Cross-Site Scripting (XSS) w widżecie Bullet List we wszystkich wersjach do 4.10.24 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współpracownika.

Wpływ biznesowy

Atakujący z dostępem na poziomie współpracownika lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas edycji zawartości strony przez innych użytkowników. Może to prowadzić do przejęcia sesji, defacementu strony lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Operatorzy CMS powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa środowiska WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Premium Addons for Elementor i ich wdrożenie. W przypadku braku natychmiastowej łatki warto ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić audyt bezpieczeństwa. Regularne przeglądy i aktualizacje wtyczek są kluczowe dla minimalizacji ryzyka.

Źródła

• NVD
• Reference
• Reference