CVE-2024-3162: Luka XSS w wtyczce Jeg Elementor Kit dla WordPress

Co wiadomo

Wtyczka Jeg Elementor Kit do WordPressa jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez atrybuty widgetu Testimonial we wszystkich wersjach do 2.6.3 włącznie. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z dostępem współtwórcy lub wyższym wstrzykiwanie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych ataków na użytkowników odwiedzających zainfekowane strony. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów korzystających z serwisu opartego na WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Jeg Elementor Kit u producenta oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie mechanizmów zabezpieczających przed XSS. Priorytetowo traktuj aktualizacje i audyt wtyczek CMS.

Źródła

• NVD
• Reference
• Reference