CVE-2024-4376: podatność Stored XSS w wtyczce Premium Addons for Elementor

Co wiadomo

Wtyczka Premium Addons for Elementor dla WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez widget Fancy Text w wersjach do 4.10.31 włącznie. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach biznesowych może to skutkować naruszeniem bezpieczeństwa danych oraz utratą zaufania klientów.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Premium Addons for Elementor do wersji 4.10.33, która zawiera poprawkę usuwającą podatność. Wersja 4.10.32 również naprawia błąd, ale powoduje krytyczny błąd, dlatego lepszym wyborem jest 4.10.33. Dodatkowo warto ograniczyć uprawnienia użytkowników, monitorować logi pod kątem podejrzanych działań oraz przeglądać konfigurację zabezpieczeń WordPressa.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference