CVE-2024-5583: podatność Stored XSS w wtyczce The Plus Addons for Elementor

Co wiadomo

Wtyczka The Plus Addons for Elementor do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr carousel_direction w widżecie testimonials. Luka dotyczy wersji do 5.6.2 włącznie i wynika z niewystarczającej sanitacji oraz ucieczki danych wejściowych użytkownika.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin strony przez użytkowników. Może to prowadzić do kradzieży sesji, deface'u strony lub innych działań naruszających bezpieczeństwo i reputację firmy. Wdrożenie odpowiednich środków zabezpieczających jest kluczowe dla ochrony środowiska WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki The Plus Addons for Elementor i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie podatnego widżetu. Warto także przeprowadzić audyt bezpieczeństwa i edukować użytkowników o ryzyku XSS.

Źródła

• NVD
• Reference
• Reference