CVE-2024-3638: podatność XSS w wtyczce Elementor Addons by Livemesh

Co wiadomo

Wtyczka Elementor Addons by Livemesh dla WordPressa do wersji 8.4.1 zawiera podatność na przechowywany Cross-Site Scripting (XSS) w widgetach Marquee Text, Testimonials oraz Testimonial Slider. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania nieautoryzowanego kodu JavaScript w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności stron internetowych opartych na WordPress z tą wtyczką. Może to skutkować kradzieżą sesji, manipulacją zawartością strony lub innymi atakami skierowanymi na użytkowników i administratorów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Elementor Addons by Livemesh i ich instalację. W przypadku braku łatki, ograniczenie dostępu do panelu edycji dla użytkowników o niskich uprawnieniach, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie stron pod kątem nieautoryzowanych zmian. Priorytetowo traktować wdrożenie poprawek i ograniczenie ekspozycji podatnych widgetów.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference