CVE-2024-4003: luka XSS w wtyczce Essential Addons for Elementor

Co wiadomo

Wtyczka Essential Addons for Elementor do WordPressa zawiera lukę typu Stored Cross-Site Scripting (XSS) w parametrze eael_team_members_image_rounded widgetu Team Members. Luka dotyczy wszystkich wersji do 5.9.15 włącznie i pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Atakujący z odpowiednimi uprawnieniami mogą wstrzykiwać złośliwe skrypty, co może prowadzić do przejęcia sesji użytkowników, defacementu strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa serwisu. Właściciele stron i administratorzy powinni traktować tę lukę poważnie, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Essential Addons for Elementor i jej instalację. W międzyczasie ogranicz dostęp użytkowników do roli współtwórcy i wyższych, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ zastosowanie mechanizmów filtrowania i sanitizacji danych wejściowych. Regularnie przeglądaj i aktualizuj polityki bezpieczeństwa CMS.

Źródła

• NVD
• Reference
• Reference