Уразливість Stored XSS у плагіні All-in-One Addons for Elementor – WidgetKit для WordPress

Що відомо

Плагін All-in-One Addons for Elementor – WidgetKit для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) у віджетах Team та Countdown у версіях до 2.5.6 включно через недостатню санітизацію введених даних. Атакуючі з рівнем доступу не нижче контриб'ютора можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє зловмисникам впроваджувати довготривалі скрипти на сайтах, що може призвести до викрадення сесій користувачів, зміни контенту або інших небажаних дій. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією даних та зниженням довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та застосувати їх. Якщо оновлення недоступні, слід обмежити доступ користувачів з рівнем контриб'ютора і вище, провести аудит журналів безпеки на наявність підозрілої активності та мінімізувати експозицію вразливих віджетів на сайті.

Джерела

• NVD
• Reference
• Reference
• Reference