Analityczne wykorzystywanie plików cookies
CVE-2024-3074: Elementor ImageBox dla WordPress z luką Stored XSS
Elementor ImageBox do 1.2.8 ma lukę Stored XSS umożliwiającą ataki przez użytkowników z uprawnieniami współtwórcy. Zalecana szybka aktualizacja.
- CVSS
- 6.4 MEDIUM
- EPSS
- 37.8%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Elementor ImageBox dla WordPress do wersji 1.2.8 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez widget obrazka z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPress, co może prowadzić do kradzieży sesji, przejęcia kont użytkowników lub dalszych ataków na odwiedzających. Właściciele stron i operatorzy IT powinni traktować tę lukę poważnie, zwłaszcza jeśli korzystają z wtyczki Elementor ImageBox i mają wielu użytkowników z uprawnieniami edycji treści.
Rekomendowane działania administratora
Zaleca się jak najszybsze zaktualizowanie wtyczki Elementor ImageBox do wersji nowszej niż 1.2.8, jeśli dostępna. W przypadku braku natychmiastowej aktualizacji warto ograniczyć uprawnienia użytkowników do minimum, przeglądać logi pod kątem podejrzanej aktywności oraz monitorować strony pod kątem nieautoryzowanych zmian. Regularne przeglądanie i stosowanie poprawek od dostawcy jest kluczowe.