Уразливість Stored XSS у плагіні Royal Addons for Elementor для WordPress

Що відомо

Плагін Royal Addons for Elementor для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через налаштування 'instagram_follow_text' віджету Instagram Feed у версіях до 1.7.1056 включно. Атакуючі з рівнем доступу Contributor і вище можуть впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість дозволяє автентифікованим користувачам із правами Contributor і вище впроваджувати довготривалі скрипти на сайті, що може призвести до викрадення сесій, зміни контенту або інших атак на користувачів і адміністраторів. Власники сайтів повинні розглянути ризики для безпеки та довіри користувачів, особливо якщо плагін використовується на публічних ресурсах.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна Royal Addons for Elementor та застосувати їх, якщо доступні. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, ретельно перевіряти введені дані та моніторити журнали на предмет підозрілої активності. Також варто розглянути тимчасове відключення віджету Instagram Feed до усунення уразливості.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference