Уразливість у Royal Elementor Addons дозволяє зберігати XSS-атаки

Що відомо

Плагін Royal Elementor Addons для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр '_elementor_data' у версіях до 1.7.1020 включно. Атакуючі з рівнем доступу Contributor і вище можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок користувачами.

Бізнес-вплив

Ця уразливість може призвести до виконання довільного коду в браузерах користувачів, що загрожує компрометацією облікових записів, викраденням сесій або іншими атаками. Власники сайтів на WordPress, які використовують цей плагін, ризикують безпекою своїх користувачів і репутацією. Середній рівень критичності вказує на необхідність оперативного реагування для зниження ризиків.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити наявність оновлень плагіна Royal Elementor Addons і застосувати їх, якщо доступні. У разі відсутності патчів слід обмежити доступ користувачів до рівня Contributor і вище, провести аудит журналів на предмет підозрілої активності та розглянути тимчасове відключення плагіна. Загалом, слід зменшити експозицію вразливого функціоналу та моніторити безпеку сайту.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference