Уразливість Stored XSS у плагіні Ultimate Bootstrap Elements для Elementor

Що відомо

Плагін Ultimate Bootstrap Elements для Elementor у WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через параметри 'heading_title_tag' та 'heading_sub_title_tag' у версіях до 1.3.6 включно. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати довільні скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів на сайті, що ставить під загрозу безпеку користувачів і цілісність вебресурсу. Це може спричинити крадіжку сесій, зміну контенту або інші атаки, що впливають на довіру до сайту та його репутацію. Власникам інфраструктури слід врахувати ризики, пов’язані з доступом користувачів з правами контриб’ютора і вище.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника g5plus і застосувати їх, якщо доступні. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на предмет підозрілої активності та зменшити публічний доступ до функцій, що використовують уразливі параметри. Важливо також моніторити безпекові оновлення та рекомендації від розробника.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference