Уразливість Stored XSS у плагіні Extensions for Elementor для WordPress

Що відомо

Плагін Extensions for Elementor для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) у віджетах EE Events та EE Flipbox через недостатню санітаризацію та екранування введених користувачем атрибутів. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати довільні скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Уразливість може бути використана для впровадження шкідливих скриптів на сайтах, що може призвести до компрометації сесій користувачів, викрадення даних або інших атак, що впливають на довіру до вебресурсу. Власники сайтів і оператори ІТ-інфраструктури повинні враховувати ризики, пов’язані з доступом користувачів із правами контриб’ютора і вище.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Extensions for Elementor від розробника idioweb і застосувати їх у разі доступності. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, провести аудит журналів на предмет підозрілої активності та зменшити експозицію вразливих віджетів на сайті.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference