CVE-2024-5341: podatność Stored XSS w wtyczce The Plus Addons for Elementor

Co wiadomo

Wtyczka The Plus Addons for Elementor Page Builder dla WordPressa do wersji 5.5.4 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez atrybut 'size' widgetu Heading Title. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z poziomem dostępu współtwórcy lub wyższym wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji, deface'u strony lub innych działań szkodliwych dla użytkowników i właścicieli witryny. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych i użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i jej wdrożenie. W międzyczasie ogranicz dostęp do panelu WordPressa tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Przeprowadź przegląd uprawnień użytkowników i rozważ ich ograniczenie do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference