Analityczne wykorzystywanie plików cookies
CVE-2024-5502: podatność Stored XSS w wtyczce Piotnet Addons dla WordPress
Podatność Stored XSS w Piotnet Addons do WordPress umożliwia atakującym z uprawnieniami współpracownika wstrzyknięcie złośliwych skryptów. Zalecane szybkie aktualizacje i ograniczenia uprawnień.
- CVSS
- 6.4 MEDIUM
- EPSS
- 22.54%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- piotnet addons
Co wiadomo
Wtyczka Piotnet Addons For Elementor dla WordPress do wersji 2.4.30 włącznie zawiera podatność typu Stored Cross-Site Scripting w widgetach Image Accordion, Dual Heading oraz Vertical Timeline. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współpracownika na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Podatność umożliwia atakującym z uprawnieniami współpracownika lub wyższymi wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPress, co może prowadzić do przejęcia sesji użytkowników, deface'u strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa firmy. Atak może być trudny do wykrycia i wpływa na integralność oraz poufność danych.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Piotnet Addons i ich instalację. W przypadku braku łatki, ograniczenie uprawnień użytkowników do niezbędnego minimum, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie stron pod kątem nieautoryzowanych zmian. Warto również rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.