CVE-2024-2751: podatność Stored XSS w wtyczce Exclusive Addons for Elementor

Co wiadomo

Wtyczka Exclusive Addons for Elementor do WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'exad_infobox_animating_mask_style' w wersjach do 2.6.9.2 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej współtwórcy.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji serwisu. Operatorzy powinni zwrócić uwagę na tę lukę, zwłaszcza w środowiskach z wieloma użytkownikami o podwyższonych uprawnieniach.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Exclusive Addons for Elementor u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych działań oraz rozważyć dodatkowe mechanizmy filtrowania i walidacji danych wejściowych. Priorytetem jest szybka reakcja na potencjalne próby wykorzystania luki.

Źródła

• NVD
• Reference
• Reference