Analityczne wykorzystywanie plików cookies
Luka Stored Cross-Site Scripting w wtyczce Royal Elementor Addons and Templates dla WordPress
Podatność Stored XSS w wtyczce Royal Elementor Addons do WordPressa pozwala użytkownikom Contributor wstrzykiwać złośliwe skrypty. Zalecana aktualizacja i monitorowanie.
- CVSS
- 6.4 MEDIUM
- EPSS
- 17.03%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Royal Elementor Addons and Templates do WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'title_tag' w wersjach do 1.7.1058 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki znaków, co pozwala użytkownikom z uprawnieniami co najmniej Contributor na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z dostępem na poziomie Contributor lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki bez aktualizacji zwiększa ryzyko naruszenia bezpieczeństwa witryny.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Royal Elementor Addons and Templates i ich instalację. W przypadku braku aktualizacji należy ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanej aktywności. Warto również rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS oraz przegląd konfiguracji serwera i aplikacji.