Уразливість Stored XSS у плагіні Element Pack Addons для WordPress

Що відомо

Плагін Element Pack Addons для Elementor на WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через SVG Image Widget у версіях до 8.4.2 включно. Проблема виникає через недостатню санітизацію SVG-контенту, отриманого з віддалених URL, що дозволяє автентифікованим користувачам з рівнем Contributor і вище впроваджувати шкідливий JavaScript.

Бізнес-вплив

Ця уразливість може призвести до виконання довільного JavaScript-коду на сторінках сайту, що містять шкідливий SVG-виджет. Це створює ризики компрометації сесій користувачів, викрадення даних або подальших атак через браузер. Власникам сайтів на WordPress з цим плагіном слід оцінити потенційний вплив на безпеку та репутацію ресурсу.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Element Pack Addons і застосувати їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити доступ користувачів з рівнем Contributor і вище, провести аудит логів на предмет підозрілої активності та мінімізувати використання SVG-виджетів, особливо з віддалених джерел. Загалом, слід дотримуватися найкращих практик безпеки WordPress і регулярно перевіряти плагіни на наявність вразливостей.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference