CVE-2024-3197: podatność Stored XSS w wtyczce The Plus Addons for Elementor

Co wiadomo

Wtyczka The Plus Addons for Elementor dla WordPressa do wersji 5.4.2 zawiera podatność na przechowywany Cross-Site Scripting (XSS) wynikającą z niewystarczającej sanitacji i escapingu atrybutów użytkownika w widgetach. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z poziomem dostępu współtwórcy lub wyższym wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPressa, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub dalszych ataków. Organizacje korzystające z tej wtyczki powinny traktować problem poważnie, zwłaszcza jeśli dostęp do panelu mają liczni użytkownicy z uprawnieniami edycyjnymi.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki The Plus Addons for Elementor u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp do panelu WordPressa tylko do zaufanych użytkowników, monitoruj logi pod kątem podejrzanych działań oraz rozważ zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Priorytetyzuj aktualizacje i audyt uprawnień użytkowników.

Źródła

• NVD
• Reference
• Reference