Luka w wtyczce Header Footer Builder for Elementor umożliwia wstrzyknięcie JavaScript

Co wiadomo

Wtyczka Header Footer Builder for Elementor w wersjach przed 1.2.1 pozwala użytkownikom z uprawnieniami do edycji wpisów na importowanie szablonów zawierających złośliwy kod JavaScript, który wykonuje się w sesji każdego odwiedzającego lub administratora strony.

Wpływ biznesowy

Atakujący z rolą współpracownika mogą wstrzyknąć złośliwy skrypt, który będzie wykonywany u wszystkich użytkowników i administratorów odwiedzających witrynę, co może prowadzić do kradzieży danych sesji lub innych działań nieautoryzowanych. Zagrożenie to wpływa na bezpieczeństwo witryn opartych na WordPress z zainstalowaną podatną wersją wtyczki, zwiększając ryzyko naruszenia integralności i poufności danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Header Footer Builder for Elementor do wersji 1.2.1 lub nowszej. W przypadku braku możliwości aktualizacji należy ograniczyć uprawnienia użytkowników do importu szablonów, przejrzeć logi pod kątem podejrzanej aktywności oraz monitorować witrynę pod kątem nietypowego zachowania. Warto także rozważyć audyt bezpieczeństwa i wdrożenie dodatkowych mechanizmów ochrony przed wstrzyknięciami kodu.

Źródła

• NVD
• Reference