CVE-2024-6627: podatność Stored XSS w wtyczce Happy Addons for Elementor

Co wiadomo

Wtyczka Happy Addons for Elementor dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) w widżecie PDF View we wszystkich wersjach do 3.11.2 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki bez aktualizacji zwiększa ryzyko naruszenia bezpieczeństwa witryny WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Happy Addons for Elementor i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, przejrzeć logi pod kątem podejrzanych działań oraz monitorować witrynę pod kątem nietypowego zachowania. Warto również rozważyć tymczasowe wyłączenie widżetu PDF View do czasu usunięcia podatności.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference