CVE-2024-5416: podatność Stored XSS w Elementor Website Builder

Co wiadomo

Wtyczka Elementor Website Builder dla WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr url w wielu widgetach we wszystkich wersjach do 3.23.4 włącznie. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej na poziomie współpracownika na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współpracownika lub wyższymi na wstrzyknięcie i wykonanie złośliwego kodu JavaScript w panelu edycji Elementor, co może prowadzić do przejęcia sesji, manipulacji treścią lub innych działań szkodliwych dla witryny i jej użytkowników. Może to wpłynąć na integralność i bezpieczeństwo stron internetowych opartych na WordPress z tym pluginem.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie i aktualizację wtyczki Elementor do najnowszej wersji po wydaniu poprawki powyżej 3.23.4. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz przeglądać i weryfikować wprowadzone treści w Elementor Editor. Regularne audyty bezpieczeństwa i szybkie reagowanie na aktualizacje producenta są kluczowe.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference