CVE-2024-5504: podatność Stored XSS w wtyczce Rife Elementor Extensions & Templates

Co wiadomo

Wtyczka Rife Elementor Extensions & Templates dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez atrybut 'tag' w widżecie Writing Effect Headline w wersjach do 1.2.1 włącznie. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPressa. Może to prowadzić do przejęcia sesji, deface'u strony lub innych działań naruszających bezpieczeństwo i zaufanie użytkowników. Operatorzy powinni traktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów ochrony przed XSS, takich jak Web Application Firewall (WAF).

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference