Уразливість збереженого XSS у плагіні Elementor Website Builder для WordPress

Що відомо

Плагін Elementor Website Builder для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через віджет Path у версіях до 3.20.2 включно. Аутентифіковані користувачі з рівнем доступу не нижче контриб'ютора можуть вставляти шкідливі скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам із правами контриб'ютора або вище впроваджувати довготривалі скрипти на сайтах, що може призвести до викрадення сесій користувачів, зміни контенту або інших атак, що впливають на довіру та безпеку сайту. Власники сайтів на WordPress з плагіном Elementor повинні врахувати ризики для користувацьких даних і репутації бізнесу.

Рекомендовані дії адміністратора

Рекомендується оновити плагін Elementor Website Builder до останньої версії, в якій усунено цю уразливість. Якщо оновлення наразі недоступне, слід обмежити права користувачів до мінімально необхідних, перевірити журнали на наявність підозрілої активності та розглянути тимчасове відключення віджету Path. Загалом, слід регулярно перевіряти оновлення від виробника та впроваджувати заходи з мінімізації ризиків.

Джерела

• NVD
• Reference
• Reference