Analityczne wykorzystywanie plików cookies
CVE-2024-4107: podatność Stored Cross-Site Scripting w wtyczce Elementor Website Builder
Podatność Stored XSS w Elementor Website Builder do wersji 3.21.0 pozwala na wstrzyknięcie skryptów przez użytkowników z uprawnieniami współautora. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 34.37%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- website builder
Co wiadomo
Wtyczka Elementor Website Builder Pro dla WordPress w wersjach do 3.21.0 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej na poziomie współautora wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący z uprawnieniami współautora mogą wykorzystać lukę do eskalacji ataków, wpływając na reputację firmy i zaufanie użytkowników. Wdrożenie odpowiednich środków zabezpieczających jest kluczowe dla ochrony środowiska WordPress.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Elementor Website Builder i ich wdrożenie. W przypadku braku natychmiastowej łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz stosować mechanizmy filtrowania i walidacji danych wejściowych. Priorytetowo traktuj przegląd i aktualizację zabezpieczeń CMS.