CVE-2024-4643: podatność w wtyczce Element Pack dla WordPress

Co wiadomo

Wtyczka Element Pack Elementor Addons (do wersji 5.7.1 włącznie) jest podatna na trwały Cross-Site Scripting (XSS) przez parametr 'end_redirect_link' z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych dla witryny i jej użytkowników. Właściciele stron opartych na WordPress z zainstalowaną wtyczką Element Pack powinni zwrócić szczególną uwagę na tę lukę, aby zapobiec potencjalnym incydentom bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Element Pack u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi serwera pod kątem podejrzanej aktywności oraz przeprowadzić audyt istniejących treści pod kątem możliwych wstrzyknięć skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference