Analityczne wykorzystywanie plików cookies
CVE-2024-9274: Wrażliwość Stored XSS w wtyczce Elastik Page Builder dla WordPress
Wtyczka Elastik Page Builder do WordPress ma lukę Stored XSS w przesyłaniu plików SVG. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 6.4 MEDIUM
- EPSS
- 19.45%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Elastik Page Builder dla WordPress do wersji 0.27.4 włącznie jest podatna na atak Stored Cross-Site Scripting poprzez przesyłanie plików SVG. Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas otwarcia pliku SVG przez użytkownika.
Wpływ biznesowy
Ta luka umożliwia uwierzytelnionym użytkownikom z poziomem autora lub wyższym wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji, kradzieży danych lub dalszych ataków na użytkowników witryny. Właściciele stron WordPress korzystający z tej wtyczki powinni traktować tę lukę poważnie, zwłaszcza w środowiskach z wieloma użytkownikami o podwyższonych uprawnieniach.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Elastik Page Builder i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji przesyłania plików SVG. Regularne przeglądy bezpieczeństwa i edukacja użytkowników również pomogą zmniejszyć ryzyko.