Уразливість Stored XSS у плагіні The Plus Addons for Elementor

Що відомо

Плагін The Plus Addons for Elementor для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через атрибут '_id' віджета Header Meta Content у версіях до 5.4.0 включно. Зловмисники з правами не нижче рівня контриб'ютора можуть впроваджувати довільні скрипти, які виконуватимуться при перегляді сторінок користувачами.

Бізнес-вплив

Ця уразливість дозволяє аутентифікованим користувачам з правами контриб'ютора та вище впроваджувати шкідливі скрипти, що може призвести до компрометації сесій, викрадення даних або інших атак на користувачів сайту. Власники сайтів на WordPress, які використовують цей плагін, ризикують безпекою своїх користувачів і репутацією ресурсу.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та встановити їх у першу чергу. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на предмет підозрілої активності та зменшити експозицію вразливих сторінок. Також варто впровадити додаткові заходи безпеки, такі як веб-фаєрволи.

Джерела

• NVD
• Reference
• Reference