CVE-2024-2922: podatność Stored XSS w wtyczce Themesflat Addons for Elementor

Co wiadomo

Wtyczka Themesflat Addons for Elementor dla WordPress do wersji 2.1.2 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez niewystarczającą sanitację i escapowanie danych w atrybutach widgetów. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań naruszających bezpieczeństwo. W środowiskach biznesowych może to skutkować utratą zaufania użytkowników oraz koniecznością kosztownych działań naprawczych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Themesflat Addons for Elementor i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Priorytetowo traktuj przegląd i zabezpieczenie środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference