Elementor Website Builder podatny na przechowywany XSS w widżecie Text Path

Co wiadomo

Wtyczka Elementor Website Builder dla WordPress do wersji 3.30.2 jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez atrybut data-text w widżecie Text Path. Atak umożliwia uwierzytelnionym użytkownikom z uprawnieniami co najmniej Contributor wstrzyknięcie złośliwych skryptów, które wykonują się w przeglądarkach Chrome i Edge podczas odwiedzania zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i może skutkować kradzieżą sesji lub innymi atakami na użytkowników witryny. Właściciele stron korzystających z Elementora powinni traktować tę lukę poważnie, zwłaszcza jeśli mają wielu współtwórców treści z dostępem Contributor lub wyższym.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Elementor i jej instalację, jeśli jest dostępna. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Regularne przeglądy i audyty bezpieczeństwa pomogą w minimalizacji ryzyka.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference