CVE-2024-6495: podatność Stored XSS w wtyczce Premium Addons for Elementor

Co wiadomo

Wtyczka Premium Addons for Elementor dla WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez widget Animated Text we wszystkich wersjach do 4.10.36 włącznie. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych użytkownika, co umożliwia atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność pozwala na trwałe wstrzyknięcie złośliwego kodu JavaScript na strony internetowe, które zostaną wykonane przy każdym ich odwiedzeniu. Może to prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań naruszających bezpieczeństwo witryny. Operatorzy CMS powinni traktować tę lukę jako istotne zagrożenie dla integralności i zaufania do serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Premium Addons for Elementor i ich wdrożenie. W przypadku braku natychmiastowej możliwości aktualizacji, ogranicz dostęp użytkowników do poziomu niższego niż współtwórca oraz przeprowadź przegląd logów pod kątem podejrzanych aktywności. Dodatkowo warto ograniczyć ekspozycję serwisu i monitorować zachowanie użytkowników.

Źródła

• NVD
• Reference
• Reference