Уразливість Stored XSS у плагіні aThemes Addons for Elementor для WordPress

Що відомо

Плагін aThemes Addons for Elementor для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через налаштування 'title_tag' у віджетах Posts Timeline та Posts Carousel у версіях до 1.1.8 включно. Уразливість дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб'ютора впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Ця уразливість може призвести до виконання довільних скриптів у браузерах користувачів, що підвищує ризик компрометації облікових записів, викрадення сесій або поширення шкідливого коду. Власники сайтів на WordPress, які використовують цей плагін, можуть зазнати втрати довіри користувачів та порушення безпеки даних. Особливо ризиковано для сайтів з кількома користувачами, де є контриб'ютори.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна від розробника та встановити їх у першу чергу. Якщо оновлення недоступні, слід обмежити права користувачів до мінімально необхідних, ретельно перевіряти введені дані та переглянути журнали на предмет підозрілої активності. Також варто розглянути тимчасове відключення уразливих віджетів до усунення проблеми.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference