CVE-2024-4342: podatność Stored XSS w wtyczce Royal Elementor Addons dla WordPress

Co wiadomo

Wtyczka Royal Elementor Addons i Templates dla WordPress do wersji 1.3.975 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) w kilku widgetach, takich jak image hotspot, image accordion, off canvas, woogrid oraz product mini cart. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań naruszających bezpieczeństwo i integralność witryny. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Royal Elementor Addons u jej dostawcy i wdrożenie poprawek. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, szczególnie dla ról z możliwością dodawania treści. Należy również monitorować logi serwera pod kątem podejrzanych aktywności oraz rozważyć przegląd i oczyszczenie istniejących treści pod kątem potencjalnych wstrzyknięć skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference