Уразливість збереженого XSS в плагіні All-in-One Addons for Elementor

Що відомо

Плагін All-in-One Addons for Elementor – WidgetKit для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) у кількох віджетах ціноутворення через недостатню санітизацію вводу та екранування виводу. Атакувальники з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді сторінок користувачами.

Бізнес-вплив

Ця уразливість може призвести до виконання довільних скриптів у браузерах користувачів сайту, що загрожує компрометацією сесій, викраденням даних або перенаправленням на шкідливі ресурси. Власники сайтів на WordPress з цим плагіном повинні врахувати ризики для безпеки користувачів і репутації бізнесу.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ користувачів до рівня нижче контриб'ютора, провести аудит журналів на предмет підозрілої активності та мінімізувати експозицію вразливих віджетів на сайті.

Джерела

• NVD
• Reference
• Reference