Analytical use of cookies
Уразливість збереженого XSS у Elementor Website Builder для WordPress
Виявлено Stored XSS у Elementor Website Builder для WordPress через параметр 'url' віджета Icon. Рекомендується оновлення та обмеження доступу.
- CVSS
- 6.4 MEDIUM
- EPSS
- 28.81%
- Активно використовується
- немає в KEV
- Продукт
- website builder
Що відомо
Плагін Elementor Website Builder для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр 'url' віджета Icon у версіях до 3.25.7 включно. Атакувальники з рівнем доступу Contributor і вище можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок користувачами.
Бізнес-вплив
Ця уразливість дозволяє автентифікованим користувачам із правами Contributor і вище впроваджувати довготривалі шкідливі скрипти на сайтах, що може призвести до викрадення сесій, зміни контенту або інших атак на відвідувачів сайту. Власники сайтів і ІТ-оператори повинні врахувати ризики компрометації репутації та безпеки користувачів.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна Elementor і застосувати їх, якщо вони доступні. У разі відсутності патчів слід обмежити права користувачів до мінімально необхідних, провести аудит журналів на предмет підозрілої активності та зменшити потенційний вплив шляхом контролю введення даних. Пріоритетно слід відслідковувати оновлення від розробника.