CVE-2024-3611: Stored XSS w wtyczce Toolbar Extras for Elementor & More do WordPress

Co wiadomo

Wtyczka Toolbar Extras for Elementor & More do WordPress jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode 'tbex-version' we wszystkich wersjach do 1.4.9 włącznie. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych przekazywanych przez użytkownika.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony przez użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i administratorów witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki i ich zastosowanie. W przypadku braku łatki warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularna weryfikacja i audyt bezpieczeństwa środowiska WordPress jest wskazana.

Źródła

• NVD
• Reference
• Reference