CVE-2024-4262: Piotnet Addons For Elementor narażony na Stored XSS

Co wiadomo

Wtyczka Piotnet Addons For Elementor dla WordPressa do wersji 2.4.28 zawiera lukę Stored Cross-Site Scripting (XSS) w wielu widgetach, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka ta pozwala na trwałe wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa serwisu. Atakujący z uprawnieniami współtwórcy mogą wykorzystać tę lukę do eskalacji zagrożeń, co stanowi istotne ryzyko dla właścicieli stron opartych na WordPress z zainstalowaną podatną wersją wtyczki.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Piotnet Addons For Elementor i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych aktywności oraz rozważyć tymczasowe wyłączenie podatnych widgetów. Dodatkowo warto przeprowadzić audyt bezpieczeństwa i edukować użytkowników o zagrożeniach XSS.

Źródła

• NVD
• Reference
• Reference