CVE-2024-9657: podatność Stored XSS w wtyczce Element Pack dla WordPress

Co wiadomo

Wtyczka Element Pack Elementor Addons (do wersji 5.10.2 włącznie) jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr 'tooltip'. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami Contributor i wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach WordPress wykorzystujących tę wtyczkę istnieje ryzyko naruszenia integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Element Pack u dostawcy oraz jej instalację. W przypadku braku natychmiastowej aktualizacji, ogranicz uprawnienia użytkowników do minimum oraz monitoruj logi pod kątem podejrzanych działań. Warto również rozważyć tymczasowe wyłączenie funkcji korzystających z parametru 'tooltip' do czasu załatania luki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference