CVE-2024-3645: podatność w wtyczce Essential Addons for Elementor

Co wiadomo

Wtyczka Essential Addons for Elementor Pro do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez widget Counter we wszystkich wersjach do 5.8.11 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych w atrybutach użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z odpowiednimi uprawnieniami mogą wstrzykiwać i wykonywać złośliwe skrypty w kontekście strony, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub dalszych ataków na użytkowników. Właściciele stron korzystających z tej wtyczki powinni rozważyć ryzyko związane z dostępem użytkowników oraz potencjalne szkody dla reputacji i bezpieczeństwa danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Essential Addons for Elementor i ich instalację. W międzyczasie ogranicz dostęp użytkowników do poziomu niższego niż współtwórca, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ zastosowanie dodatkowych mechanizmów ochrony przed XSS. Priorytetowo traktuj przegląd i zabezpieczenie środowiska CMS.

Źródła

• NVD
• Reference
• Reference