Luka XSS w wtyczce SKT Addons for Elementor dla WordPress

Co wiadomo

Wtyczka SKT Addons for Elementor dla WordPress do wersji 3.7 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) w wielu widgetach z powodu niewystarczającej sanitacji i eskapowania danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzykiwanie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, deface'u strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron opartych na WordPress z tą wtyczką powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa i integralności serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki SKT Addons for Elementor i jej instalację. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż współtwórca, przeglądać logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie podatnych widgetów. Dodatkowo warto monitorować oficjalne komunikaty producenta wtyczki w celu uzyskania dalszych wskazówek.

Źródła

• NVD
• Reference
• Reference
• Reference