Analityczne wykorzystywanie plików cookies
CVE-2024-2781: podatność Stored Cross-Site Scripting w Elementor Pro
Elementor Pro do wersji 3.20.1 ma lukę XSS umożliwiającą wstrzyknięcie skryptów przez użytkowników z uprawnieniami współtwórcy. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 24.63%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- elementor pro
Co wiadomo
Wtyczka Elementor Website Builder Pro dla WordPressa do wersji 3.20.1 włącznie zawiera lukę Stored Cross-Site Scripting (XSS) związaną z atrybutem video_html_tag. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu, co pozwala uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty do stron, które będą wykonywane przy ich odwiedzeniu przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Elementor Pro i jej instalację. W przypadku braku natychmiastowej aktualizacji warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz przeglądać i weryfikować wprowadzane treści. Priorytetowo traktuj wdrożenie poprawek bezpieczeństwa od dostawcy.