CVE-2024-5041: Luka wtyczki Happy Addons for Elementor umożliwiająca Stored XSS

Co wiadomo

Wtyczka Happy Addons for Elementor dla WordPressa do wersji 3.10.9 zawiera lukę Stored Cross-Site Scripting (XSS) w parametrze 'ha-ia-content-button' z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Umożliwia to atakującym z uprawnieniami co najmniej na poziomie Współpracownika wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka ta może prowadzić do wykonania złośliwego kodu w przeglądarkach użytkowników odwiedzających zainfekowane strony, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący z uprawnieniami współpracownika mogą eskalować zagrożenie, wpływając na reputację firmy i powodując potencjalne naruszenia danych. Operatorzy IT powinni traktować tę lukę jako średniego ryzyka, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Happy Addons for Elementor u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz przeprowadzić audyt stron pod kątem obecności złośliwych skryptów. Wdrożenie mechanizmów filtrowania i sanitacji danych wejściowych może dodatkowo zmniejszyć ryzyko.

Źródła

• NVD
• Reference
• Reference
• Reference