Вразливість Stored XSS у плагіні Spexo Addons для Elementor WordPress

Що відомо

Плагін Spexo Addons для Elementor WordPress має вразливість збереженого міжсайтового скриптингу (Stored XSS) у віджеті Countdown у версіях до 1.0.23 включно через недостатню санітизацію та екранування введених користувачем даних. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб'ютора впроваджувати довільні скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Вразливість може призвести до виконання шкідливих скриптів у браузерах користувачів сайту, що загрожує компрометацією сесій, викраденням даних або зміною контенту. Для власників сайтів на WordPress це означає підвищений ризик атак через плагіни, особливо якщо користувачі мають права контриб'ютора і вище. Своєчасне виявлення та усунення цієї проблеми є критично важливим для збереження безпеки вебресурсу.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Spexo Addons для Elementor та встановити їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, особливо для ролей контриб'ютора і вище. Також варто провести аудит журналів безпеки на предмет підозрілої активності та розглянути тимчасове відключення віджету Countdown до усунення вразливості.

Джерела

• NVD
• Reference
• Reference
• Reference