Уразливість у плагіні Elementor Addons від Livemesh дозволяє зберігання XSS

Що відомо

Плагін Elementor Addons by Livemesh для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через атрибут 'carousel_skin' віджету Posts Carousel у версіях до 8.3.4 включно. Атакуючі з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Ця уразливість може дозволити зловмисникам впроваджувати довготривалі скрипти на сайтах, що призведе до компрометації користувацьких сесій, викрадення даних або поширення шкідливого коду. Власники сайтів на WordPress, які використовують цей плагін, ризикують втратити довіру користувачів і зазнати репутаційних та фінансових збитків.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити наявність оновлень плагіна від Livemesh і встановити їх якнайшвидше. Якщо оновлення недоступні, слід обмежити рівні доступу користувачів, провести аудит логів на ознаки експлуатації уразливості та мінімізувати експозицію вразливих компонентів. Рекомендується також впровадити додаткові заходи безпеки, такі як веб-аплікаційні фаєрволи.

Джерела

• NVD
• Reference
• Reference