CVE-2024-2923: luka XSS w wtyczce Magical Addons for Elementor

Co wiadomo

Wtyczka Magical Addons for Elementor do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) w wersjach do 1.1.37 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych w widżecie efektu tekstowego, co pozwala użytkownikom z uprawnieniami współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin strony przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań naruszających bezpieczeństwo i integralność witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Magical Addons for Elementor u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference