Analytical use of cookies
Уразливість Stored XSS у плагіні Elementor Website Builder для WordPress
Stored XSS у плагіні Elementor Website Builder (до 3.30.2) дозволяє автентифікованим користувачам впроваджувати скрипти в Chrome/Edge. Рекомендується оновлення та аудит безпеки.
- CVSS
- 6.4 MEDIUM
- EPSS
- 13.33%
- Активно використовується
- немає в KEV
- Продукт
- -
Що відомо
Плагін Elementor Website Builder для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через атрибут data-text у віджеті Text Path у версіях до 3.30.2 включно. Атаку можуть здійснити автентифіковані користувачі з рівнем Contributor і вище, впроваджуючи шкідливі скрипти, які виконуються при перегляді сторінок у браузерах Chrome та Edge.
Бізнес-вплив
Ця уразливість дозволяє зловмисникам із обліковим записом Contributor або вище впроваджувати довготривалі скрипти на сайті, що може призвести до викрадення сесій користувачів, зміни контенту або інших небажаних дій. Вразливість обмежена браузерами Chrome та Edge, але все ж становить ризик для безпеки вебресурсу та довіри користувачів.
Рекомендовані дії адміністратора
Рекомендується перевірити наявність оновлень плагіна Elementor і встановити їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити права користувачів до рівня нижче Contributor, провести аудит логів на предмет підозрілої активності та мінімізувати експозицію вразливих сторінок. Також варто впровадити додаткові заходи фільтрації введених даних та моніторинг безпеки.