Уразливість Stored XSS у плагіні WPKoi Templates для Elementor (CVE-2024-4980)

Що відомо

Плагін WPKoi Templates для Elementor у WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатню санітизацію параметрів id, mixColor, backgroundColor, saveInCookies та autoMatchOsTheme у версіях до 2.5.9 включно. Це дозволяє автентифікованим користувачам з рівнем Contributor і вище впроваджувати довільні скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання шкідливих скриптів на сайтах, що використовують плагін, що ставить під загрозу безпеку користувачів і цілісність вебресурсу. Це може спричинити викрадення сесій, зміну контенту або інші атаки, що впливають на довіру до сайту та його функціональність.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити наявність оновлень плагіна WPKoi Templates і застосувати їх, якщо вони доступні. У разі відсутності оновлень слід обмежити права користувачів до мінімально необхідних, провести аудит логів на предмет підозрілої активності та зменшити експозицію вразливих параметрів. Також варто впровадити додаткові заходи фільтрації та санітизації введених даних.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference