CVE-2024-9376: Luka XSS w wtyczce Kata Plus dla Elementor

Co wiadomo

Wtyczka Kata Plus – Addons for Elementor dla WordPressa jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez przesyłanie plików SVG w wersjach do 1.4.7 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego zabezpieczenia wyjścia, umożliwiając atakującym z uprawnieniami autora lub wyższymi wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z poziomem dostępu autora lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas przeglądania plików SVG przez użytkowników. Może to prowadzić do kradzieży danych sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron powinni zwrócić uwagę na potencjalne ryzyko związane z tą podatnością.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Kata Plus i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji przesyłania plików SVG. Regularna weryfikacja i audyt bezpieczeństwa wtyczek WordPress jest kluczowa.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference