CVE-2024-9993: podatność Stored XSS w Essential Addons for Elementor

Co wiadomo

Wtyczka Essential Addons for Elementor do WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr eael_event_details_text w widżecie kalendarza wydarzeń. Luka dotyczy wersji do 6.1.12 włącznie i wynika z niewystarczającej sanitacji oraz ucieczki danych wejściowych.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami co najmniej na poziomie współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony przez użytkowników. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań zagrażających bezpieczeństwu i reputacji serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u dostawcy i jej instalację. W międzyczasie warto ograniczyć uprawnienia użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference