CVE-2024-6283: podatność Stored XSS w wtyczce DethemeKit for Elementor

Co wiadomo

Wtyczka DethemeKit for Elementor dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr URL widgetu De Gallery w wersjach do 2.1.5 włącznie. Luka wynika z niewystarczającej sanitacji i eskapowania danych wejściowych od użytkowników.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się po kliknięciu przez użytkownika w odpowiedni link. Może to prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla użytkowników i właścicieli stron WordPress korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki DethemeKit for Elementor i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż współpracownik, monitorować logi pod kątem podejrzanych aktywności oraz rozważyć tymczasowe wyłączenie podatnego widgetu De Gallery.

Źródła

• NVD
• Reference
• Reference
• Reference