CVE-2024-3891: podatność Stored XSS w wtyczce Happy Addons for Elementor

Co wiadomo

Wtyczka Happy Addons for Elementor dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez tagi HTML w widgetach we wszystkich wersjach do 3.10.5 włącznie. Problem wynika z niewystarczającej sanitacji i escapowania danych wejściowych od użytkowników, co pozwala atakującym z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z poziomem współtwórcy lub wyższym wstrzyknięcie i wykonanie złośliwych skryptów na stronach WordPressa, co może prowadzić do przejęcia sesji, defacementu lub innych działań szkodliwych dla reputacji i bezpieczeństwa firmy. Operatorzy infrastruktury powinni traktować tę lukę poważnie, zwłaszcza w środowiskach z wieloma użytkownikami o podwyższonych uprawnieniach.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Happy Addons for Elementor i ich wdrożenie. W przypadku braku natychmiastowej poprawki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem złośliwych skryptów. Priorytetowo traktuj aktualizacje i audyty bezpieczeństwa wtyczek.

Źródła

• NVD
• Reference
• Reference