CVE-2024-2792: podatność Stored XSS w wtyczce Elementor Addon Elements

Co wiadomo

Wtyczka Elementor Addon Elements dla WordPress do wersji 1.13.2 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w widgetach, wynikającą z niewystarczającej sanitizacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej na poziomie współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do przejęcia sesji użytkowników, defraudacji danych lub innych działań złośliwych wykonywanych w kontekście przeglądarki ofiary. Administratorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa witryny i danych użytkowników, zwłaszcza gdy dostęp do panelu mają użytkownicy z uprawnieniami współtwórców lub wyższymi.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Elementor Addon Elements u dostawcy i jej wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS, takich jak Web Application Firewall.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference