Вразливість Stored XSS у плагіні ElementsReady для Elementor (CVE-2024-5152)

Що відомо

Плагін ElementsReady для Elementor у WordPress містить вразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр '_id' у версіях до 6.1.0 включно. Атакуючі з рівнем доступу Contributor і вище можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця вразливість дозволяє автентифікованим користувачам з правами Contributor і вище впроваджувати довготривалі скрипти, що можуть викрасти сесійні дані або змінити контент сторінок. Це підвищує ризик компрометації сайту та довіри користувачів, що може негативно вплинути на репутацію та безпеку інфраструктури.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна ElementsReady від розробника quomodosoft і застосувати їх. Якщо оновлення недоступні, слід обмежити права користувачів до рівня нижче Contributor, переглянути журнали активності на предмет підозрілих дій та мінімізувати експозицію вразливих сторінок.

Джерела

• NVD
• Reference
• Reference
• Reference