CVE-2024-7791: podatność Xpro Addons for Elementor na przechowywany XSS

Co wiadomo

Wtyczka 140+ Widgets | Xpro Addons for Elementor dla WordPress jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez parametr 'arrow' w widżecie Post Grid we wszystkich wersjach do 1.4.4.3 włącznie. Atakujący z uprawnieniami co najmniej współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami Contributor i wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych ataków na użytkowników odwiedzających zainfekowane strony. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów korzystających z witryny WordPress z tym pluginem.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Xpro Addons for Elementor i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie widżetu Post Grid. Regularnie przeglądaj i audytuj wtyczki pod kątem bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference