Виявлено вразливість у популярному плагіні Happy Addons for Elementor: розбір ситуації
Плагін Happy Addons for Elementor розширює можливості створення сторінок на Elementor за допомогою десятків безкоштовних віджетів і функцій, таких як сітки зображень, функція зворотного зв'язку та відгуків від користувачів, а також користувацькі навігаційні меню. Оплачена версія плагіна надає ще більше дизайнерських можливостей, що дозволяють легко створювати функціональні та привабливі веб-сайти на WordPress.
Stored Cross-Site Scripting (Stored XSS) — це тип вразливості, яка зазвичай виникає, коли тема або плагін не правильно фільтрує введення користувачів (так звані санітайзери), дозволяючи зловмисним скриптам завантажуватися у базу даних і зберігатися на самому сервері.
Коли користувач відвідує веб-сайт, скрипт завантажується у браузер і виконує дії, такі як крадіжка браузерних кукіс або перенаправлення користувача на зловмисний веб-сайт. 🚀
- 📌 Вразливість Stored XSS, яка впливає на плагін Happy Addons for Elementor, потребує від хакера отримання прав на рівні "Contributor", що робить використання цієї вразливості складнішим.
Компанія з безпеки WordPress Wordfence оцінила цю вразливість як 6.4 на шкалі від 1 до 10, що є середнім рівнем загрози. 🚀
Wordfence заявляє: "Плагін Happy Addons for Elementor для WordPress є вразливим до Stored Cross-Site Scripting через параметр before_label у віджеті Image Comparison у всіх версіях до 3.12.5 включно через недостатню санітаризацію вводу та виводу. Це дозволяє аутентифікованим нападникам, з доступом на рівні "Contributor" та вище, впроваджувати довільні веб-скрипти на сторінках, які будуть виконуватися кожен раз, коли користувач відкриває інфіковану сторінку".
Чи можу я захистити свій сайт від цієї вразливості?
Так, вам слід оновити плагін до останньої версії, в якій вже міститься патч для цієї вразливості.
Чи можна вважати цю вразливість серйозною?
Вона оцінена як "середня" загроза, але від цього не менш важливою. Якщо хтось зловживає цією вразливістю, результати можуть бути небезпечними.
Чи є інші способи захисту від таких атак?
Головний спосіб захисту - це завжди тримати свої плагіни оновленими. Також важливо використовувати надійні плагіни від репутаційних розробників.
Статтю згенеровано з використанням ШІ на основі зазначеного матеріалу, відредаговано та перевірено автором вручну для точності та корисності.
https://www.searchenginejournal.com/wordpress-elementor-addons-vulnerability-affects-400k-sites/532372/