CVE-2024-4364: podatność Stored Cross-Site Scripting w wtyczce Qi Addons for Elementor

Co wiadomo

Wtyczka Qi Addons for Elementor dla WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez widgety przycisków w wersjach do 1.7.2 włącznie, z powodu niewystarczającej sanitacji i ucieczki danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających zainfekowane strony, co zagraża bezpieczeństwu danych i integralności witryny. Operatorzy stron wykorzystujących tę wtyczkę powinni traktować tę lukę poważnie, zwłaszcza jeśli umożliwiają dostęp do panelu redakcyjnego wielu użytkownikom o podwyższonych uprawnieniach.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Qi Addons for Elementor i ich wdrożenie. W przypadku braku łatki, ogranicz dostęp użytkowników do poziomu niepozwalającego na edycję widgetów oraz monitoruj logi pod kątem podejrzanej aktywności. Warto także przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem potencjalnych złośliwych skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference