CVE-2024-4378: podatność Stored XSS w wtyczce Premium Addons for Elementor

Co wiadomo

Wtyczka Premium Addons for Elementor dla WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) w menu i widgetach kształtów we wszystkich wersjach do 4.10.30 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współpracownika.

Wpływ biznesowy

Atakujący z uprawnieniami współpracownika lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży danych sesji, manipulacji treścią strony lub dalszych ataków na użytkowników i administratorów witryny. Właściciele stron powinni traktować tę lukę poważnie, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Premium Addons for Elementor i ich wdrożenie. W przypadku braku natychmiastowej poprawki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz przeglądać i weryfikować zawartość stron pod kątem nieautoryzowanych skryptów. Regularne audyty bezpieczeństwa i edukacja użytkowników również pomogą zminimalizować ryzyko.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference