CVE-2024-2924: Stored Cross-Site Scripting w wtyczce Creative Addons for Elementor

Co wiadomo

Wtyczka Creative Addons for Elementor do WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) w wersjach do 1.5.12 włącznie. Luka wynika z niewystarczającej sanitacji i zabezpieczenia danych wejściowych w atrybutach widgetów, co umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań naruszających bezpieczeństwo witryny. Operatorzy CMS powinni traktować tę lukę poważnie, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Creative Addons for Elementor do wersji nienarażonej na tę lukę. W przypadku braku dostępnej poprawki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie podatnych widgetów. Regularne przeglądy i stosowanie najlepszych praktyk bezpieczeństwa CMS są kluczowe.

Źródła

• NVD
• Reference
• Reference