CVE-2024-5790: luka XSS w wtyczce Happy Addons for Elementor

Co wiadomo

Wtyczka Happy Addons for Elementor dla WordPressa jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez atrybut 'url' w widżecie Gradient Heading we wszystkich wersjach do 3.11.1 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, co pozwala użytkownikom z uprawnieniami co najmniej Contributor na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami Contributor lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Happy Addons for Elementor i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie podatnego widżetu. Regularna weryfikacja i audyt bezpieczeństwa wtyczek WordPress jest kluczowa.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference