CVE-2024-5612: podatność w Essential Addons for Elementor Pro

Co wiadomo

Wtyczka Essential Addons for Elementor Pro dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr 'eael_lightbox_open_btn_icon' w widżecie Lightbox & Modal we wszystkich wersjach do 5.8.15 włącznie. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem na poziomie Współpracownika lub wyższym wstrzyknięcie i wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika. Może to prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań naruszających bezpieczeństwo witryny i jej użytkowników. Operatorzy powinni traktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa swoich stron opartych na WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Essential Addons for Elementor Pro i ich zastosowanie. W przypadku braku natychmiastowej łatki, ograniczenie uprawnień użytkowników do niezbędnego minimum oraz monitorowanie logów pod kątem podejrzanej aktywności jest wskazane. Dodatkowo warto przeprowadzić przegląd i oczyszczenie potencjalnie zainfekowanych stron oraz stosować mechanizmy zabezpieczające przed XSS.

Źródła

• NVD
• Reference
• Reference