Уразливість Stored XSS у плагіні Elementor Header & Footer Builder

Що відомо

Плагін Elementor Header & Footer Builder для WordPress має уразливість типу Stored Cross-Site Scripting (XSS) через недостатню санітизацію та екранування даних у функції 'hfe_svg_mime_types' у версіях до 1.6.28 включно. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб'ютора впроваджувати шкідливі скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів у браузерах користувачів сайту, що ставить під загрозу безпеку даних та довіру клієнтів. Для власників веб-інфраструктури це означає ризик компрометації облікових записів, викрадення сесій або інших атак, що можуть вплинути на стабільність і репутацію бізнесу.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та встановити їх у першу чергу. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на предмет підозрілої активності та зменшити експозицію вразливих сторінок. Також варто впровадити додаткові заходи безпеки, такі як веб-аплікаційний фаєрвол.

Джерела

• NVD
• Reference
• Reference
• Reference