CVE-2024-4698: XSS w wtyczce Testimonial Carousel For Elementor dla WordPress

Co wiadomo

Wtyczka Testimonial Carousel For Elementor do WordPressa w wersjach do 10.1.1 ma lukę typu Stored Cross-Site Scripting (XSS) w parametrach 'show_line_text' i 'slide_button_hover_animation'. Umożliwia to atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Luka pozwala na trwałe wstrzyknięcie złośliwego kodu JavaScript przez użytkowników z uprawnieniami współtwórcy i wyższymi, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych ataków skierowanych do odwiedzających. Operatorzy stron korzystających z tej wtyczki powinni traktować tę podatność jako istotne zagrożenie dla bezpieczeństwa i integralności witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Testimonial Carousel For Elementor i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić przegląd i oczyszczenie potencjalnie zainfekowanych stron.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference