CVE-2024-5088: podatność Stored XSS w wtyczce Happy Addons for Elementor

Co wiadomo

Wtyczka Happy Addons for Elementor dla WordPressa do wersji 3.10.8 zawiera podatność typu Stored Cross-Site Scripting (XSS) w parametrze '_id' z powodu niewystarczającej sanitacji i escapowania danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej na poziomie Współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący mogą wykorzystać ją do kradzieży sesji, manipulacji treścią lub eskalacji uprawnień, co stanowi poważne ryzyko dla właścicieli stron i administratorów IT korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Happy Addons for Elementor i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż Współtwórca, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki do czasu usunięcia podatności.

Źródła

• NVD
• Reference
• Reference
• Reference