CVE-2024-4619: Luka XSS w wtyczce Elementor Website Builder dla WordPress

Co wiadomo

Wtyczka Elementor Website Builder do WordPressa w wersjach do 3.21.5 włącznie zawiera lukę DOM-Based Stored Cross-Site Scripting (XSS) poprzez parametr 'hover_animation'. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zmodyfikowane strony. Może to prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako średniego ryzyka i podjąć odpowiednie działania zabezpieczające.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Elementor Website Builder i ich wdrożenie. W przypadku braku natychmiastowej aktualizacji, ogranicz uprawnienia użytkowników do minimum niezbędnego do pracy oraz monitoruj logi pod kątem podejrzanych działań. Warto również przeprowadzić przegląd i oczyszczenie stron pod kątem możliwych wstrzyknięć skryptów oraz edukować użytkowników o ryzyku związanym z uprawnieniami współtwórcy.

Źródła

• NVD
• Reference
• Reference
• Reference