CVE-2024-4449: podatność Stored XSS w wtyczce Essential Addons for Elementor

Co wiadomo

Wtyczka Essential Addons for Elementor do WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) w wielu widgetach, co pozwala użytkownikom z uprawnieniami co najmniej na poziomie współpracownika na wstrzyknięcie złośliwych skryptów. Luka wynika z niewystarczającej sanitacji i escapowania danych wejściowych w wersjach do 5.9.19 włącznie.

Wpływ biznesowy

Atakujący z uprawnieniami współpracownika lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży sesji, manipulacji treścią lub dalszych ataków na użytkowników i infrastrukturę. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa witryn opartych na WordPressie.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Essential Addons for Elementor i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz monitorować witrynę pod kątem nietypowych zachowań. Warto również rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference