Вразливість Stored XSS у плагіні Exclusive Addons for Elementor

Що відомо

Плагін Exclusive Addons for Elementor для WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) через віджет Covid-19 Stats у версіях до 2.6.9 включно. Атакуючі з рівнем доступу не нижче контриб’ютора можуть впроваджувати шкідливі скрипти, які виконуються при відкритті зараженої сторінки.

Бізнес-вплив

Ця вразливість дозволяє авторизованим користувачам із правами контриб’ютора та вище впроваджувати довготривалі шкідливі скрипти, що можуть викрасти сесійні дані або виконати небажані дії від імені користувачів. Це підвищує ризик компрометації вебсайту та негативно впливає на довіру користувачів і безпеку даних.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та встановити їх у першу чергу. Якщо оновлення недоступні, обмежте права користувачів до мінімально необхідних, особливо для контриб’юторів і вище. Проведіть аудит журналів доступу на предмет підозрілої активності та розгляньте можливість тимчасового відключення уразливого віджету.

Джерела

• NVD
• Reference
• Reference