CVE-2024-4669: podatność Stored XSS w wtyczce Events Addon for Elementor

Co wiadomo

Wtyczka Events Addon for Elementor dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) w widgetach Basic Slider, Upcoming Events oraz Schedule we wszystkich wersjach do 2.1.4 włącznie. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem współtwórcy lub wyższym wstrzyknięcie i wykonanie złośliwych skryptów w kontekście przeglądarki innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań naruszających bezpieczeństwo i integralność witryny. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Events Addon for Elementor i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, przeprowadzić przegląd logów pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie podatnych widgetów. Dodatkowo warto monitorować oficjalne komunikaty producenta i stosować ogólne praktyki ograniczania ekspozycji oraz zabezpieczania środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference