Уразливість у Premium Addons for Elementor дозволяє зберігати XSS-атаки

Що відомо

Плагін Premium Addons for Elementor для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через віджет постового тікера у версіях до 4.10.28 включно. Уразливість виникає через недостатню санітизацію та екранування введених користувачем атрибутів, що дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати шкідливі скрипти.

Бізнес-вплив

Ця уразливість може призвести до виконання довільних скриптів у браузерах користувачів сайту, що потенційно дозволяє викрадення сесій, фішинг або інші атаки, що впливають на довіру користувачів і безпеку вебресурсу. Власники сайтів, які використовують Premium Addons for Elementor, повинні оцінити ризики, особливо якщо плагін встановлено у преміум-версії та активовано.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити наявність оновлень плагіна від розробника leap13 та оперативно їх встановити. Якщо оновлення недоступні, слід обмежити доступ користувачів з рівнем контриб’ютора і вище, провести аудит логів на предмет підозрілої активності та мінімізувати можливий вплив шляхом зменшення прав доступу та моніторингу вебсайту.

Джерела

• NVD
• Reference
• Reference