CVE-2024-2787: podatność Stored XSS w wtyczce Happy Addons for Elementor

Co wiadomo

Wtyczka Happy Addons for Elementor do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez tag HTML tytułu strony w wersjach do 3.10.4 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych w atrybutach dostarczanych przez użytkownika, umożliwiając atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność ta pozwala na wykonanie złośliwego kodu w przeglądarce użytkowników odwiedzających zainfekowane strony, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub innych ataków na użytkowników serwisu. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa i integralności witryny oraz danych użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Happy Addons for Elementor u dostawcy oraz jej instalację. W przypadku braku natychmiastowej poprawki warto ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji umożliwiających edycję tytułów stron przez użytkowników z niższymi uprawnieniami.

Źródła

• NVD
• Reference
• Reference