CVE-2024-4697: podatność Stored Cross-Site Scripting w wtyczce Cowidgets Elementor Addons

Co wiadomo

Wtyczka Cowidgets – Elementor Addons dla WordPressa do wersji 1.1.2 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w parametrze 'heading_tag' z powodu niewystarczającej sanitizacji danych wejściowych i ucieczki znaków. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzenia zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających zainfekowane strony, co stwarza ryzyko kradzieży danych sesji, przejęcia konta lub innych ataków typu phishing. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa witryny i danych użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Cowidgets Elementor Addons u dostawcy oraz ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, szczególnie poziomu współtwórcy i wyżej, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference