Plus Addons for Elementor: podatność XSS w wersjach do 6.4.11

Co wiadomo

Wtyczka Plus Addons for Elementor dla WordPressa miała podatność typu Stored Cross-Site Scripting (XSS) umożliwiającą atakującym z uprawnieniami Contributor+ wstrzyknięcie złośliwego kodu przez ustawienie custom_attributes w widżecie Button. Luka została załatana w wersji 6.4.12.

Wpływ biznesowy

Podatność pozwala na wykonanie złośliwego skryptu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań naruszających bezpieczeństwo. Operatorzy stron korzystających z tej wtyczki powinni rozważyć ryzyko ataków XSS, zwłaszcza jeśli użytkownicy mają uprawnienia Contributor lub wyższe.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Plus Addons for Elementor do wersji 6.4.12 lub nowszej. W przypadku braku możliwości aktualizacji należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Warto również przeprowadzić przegląd konfiguracji i zabezpieczeń WordPressa.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference