CVE-2024-5332: podatność Stored XSS w wtyczce Exclusive Addons for Elementor

Co wiadomo

Wtyczka Exclusive Addons for Elementor do WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez widget Card we wszystkich wersjach do 2.6.9.8 włącznie. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych dostarczanych przez użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach serwisu, co może prowadzić do przejęcia sesji użytkowników, deface'u strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa firmy. Operatorzy CMS powinni zweryfikować obecność tej wtyczki i ocenić ryzyko w kontekście swoich środowisk.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki Exclusive Addons for Elementor i aktualizację do najnowszej dostępnej wersji, jeśli została wydana poprawka. W przypadku braku aktualizacji warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, przejrzeć logi pod kątem podejrzanych działań oraz monitorować strony pod kątem nieautoryzowanych zmian. Regularne audyty bezpieczeństwa i stosowanie zasad minimalnych uprawnień pomogą zredukować ryzyko.

Źródła

• NVD
• Reference
• Reference