CVE-2024-4087: podatność Stored XSS w wtyczce Royal Elementor Addons

Co wiadomo

Wtyczka Royal Elementor Addons i Templates dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez widget Back to Top we wszystkich wersjach do 1.3.975 włącznie. Luka wynika z niewystarczającej sanitizacji i escapingu danych wejściowych od użytkowników.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonają się przy odwiedzeniu zainfekowanej strony. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i właścicieli serwisów opartych na WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Royal Elementor Addons u dostawcy. W międzyczasie ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie widgetu Back to Top, jeśli jest używany.

Źródła

• NVD
• Reference
• Reference
• Reference