Analytical use of cookies
Уразливість Power Ups for Elementor: збережений XSS через shortcode 'magic-button'
Stored XSS у плагіні Power Ups for Elementor дозволяє контриб'юторам впроваджувати скрипти. Рекомендується оновлення та обмеження прав.
- CVSS
- 6.4 MEDIUM
- EPSS
- 21.07%
- Активно використовується
- немає в KEV
- Продукт
- power ups for elementor
Що відомо
Плагін Power Ups for Elementor для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через shortcode 'magic-button' у версіях до 1.2.2 включно. Аутентифіковані користувачі з рівнем доступу не нижче контриб'ютора можуть впроваджувати довільні скрипти, які виконуватимуться при перегляді сторінок.
Бізнес-вплив
Уразливість дозволяє зловмисникам з правами контриб'ютора або вище впроваджувати шкідливі скрипти, що може призвести до викрадення сесій, зміни контенту або інших атак на користувачів сайту. Це створює ризики для безпеки веб-ресурсу та довіри користувачів, особливо для сайтів з багатьма редакторами.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит журналів на предмет підозрілої активності та розглянути тимчасове відключення функції shortcode 'magic-button'.