CVE-2024-5576: podatność Stored XSS w wtyczce Tutor LMS Elementor Addons

Co wiadomo

Wtyczka Tutor LMS Elementor Addons dla WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez atrybut 'course_carousel_skin' w widżecie Course Carousel. Luka dotyczy wersji do 2.1.4 włącznie i wynika z niewystarczającej sanitacji i escapingu danych wejściowych użytkownika.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które będą wykonywane podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Tutor LMS Elementor Addons i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie widżetu Course Carousel. Priorytetowo traktuj aktualizacje i audyt bezpieczeństwa środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference