Уразливість Stored XSS у Timeline Widget для Elementor

Що відомо

Плагін Timeline Widget для Elementor у WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через URL зображень у віджеті таймлайну. Уразливість дозволяє користувачам з правами не нижче рівня контриб’ютора впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість може призвести до виконання довільних скриптів у браузерах користувачів сайту, що загрожує компрометацією сесій, викраденням даних або зміною вмісту сторінок. Власники сайтів на WordPress, які використовують цей плагін, ризикують порушенням безпеки та довіри користувачів, особливо якщо на сайті є кілька авторів з правами контриб’ютора і вище.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Timeline Widget для Elementor від розробника coolplugins і встановити їх. Якщо оновлення недоступні, слід обмежити права користувачів, перевірити журнали на наявність підозрілої активності, зменшити експозицію вразливого функціоналу та пріоритезувати виправлення. Також варто впровадити додаткові заходи з фільтрації та санітизації введених даних.

Джерела

• NVD
• Reference
• Reference