CVE-2024-4448: podatność XSS w Essential Addons for Elementor

Co wiadomo

Wtyczka Essential Addons for Elementor dla WordPress zawiera lukę typu Stored Cross-Site Scripting w widgetach 'Dual Color Header', 'Event Calendar' oraz 'Advanced Data Table' w wersjach do 5.9.19 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, przekierowań lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki w środowiskach produkcyjnych wymaga uwagi i szybkiego działania.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Essential Addons for Elementor u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, przejrzeć logi pod kątem podejrzanych działań oraz monitorować strony korzystające z podatnych widgetów. Wdrożenie mechanizmów filtrowania i walidacji danych wejściowych może dodatkowo zmniejszyć ryzyko.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference