CVE-2024-9888: podatność Stored XSS w wtyczce ElementInvader Addons for Elementor

Co wiadomo

Wtyczka ElementInvader Addons for Elementor dla WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr URL przekierowania w widżecie formularza kontaktowego we wszystkich wersjach do 1.2.8 włącznie. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych użytkownika.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonają się na stronach odwiedzanych przez użytkowników. Może to prowadzić do przejęcia sesji, defraudacji danych lub innych działań szkodliwych dla użytkowników i właścicieli serwisu. Zagrożenie jest klasyfikowane jako średnie, ale wymaga uwagi ze względu na możliwość eskalacji ataku.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie widżetu formularza kontaktowego. Należy również przeprowadzić audyt bezpieczeństwa i edukować użytkowników o potencjalnych zagrożeniach.

Źródła

• NVD
• Reference
• Reference