CVE-2024-2789: Luka XSS w wtyczce Happy Addons for Elementor

Co wiadomo

Wtyczka Happy Addons for Elementor do WordPressa jest podatna na przechowywany atak Cross-Site Scripting (XSS) w widżecie Calendy we wszystkich wersjach do 3.10.4 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych użytkownika, co pozwala atakującym z uprawnieniami współautora i wyższymi na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z poziomem dostępu współautora lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa CMS.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Happy Addons for Elementor u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference