PT-2024-15853 · WordPress · Elementor Addon Elements

Craig Smith + 1 · Publicado 2024-02-05 · Atualizado 2024-02-13 · CVE-2024-0834

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin Elementor Addon Elements para o WordPress, versões até e incluindo a 1.12.11

Descrição

A vulnerabilidade está relacionada a um ataque de Stored Cross-Site Scripting (XSS), causado por sanitização insuficiente de entradas e escapamento insuficiente de saídas, permitindo que invasores autenticados com acesso de colaborador ou superior injetem scripts web arbitrários nas páginas. Isso pode ser feito por meio do parâmetro link to.

Recomendações

Para versões até a 1.12.11, inclusive, atualize para uma versão superior à 1.12.11 para resolver o problema.

Como solução temporária, considere restringir o acesso ao parâmetro link to no plugin afetado até que um patch esteja disponível.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-0834

Produtos afetados

Elementor Addon Elements

Referências · 7

• https://osv.dev/vulnerability/CVE-2024-0834 · Aviso do Fabricante
• https://wordfence.com/threat-intel/vulnerabilities/id/6ebb5654-ba3e-4f18-8720-a6595a771964?source=cve · Nota
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3031349%40addon-elements-for-elementor-page-builder&new=3031349%40addon-elements-for-elementor-page-builder&sfp_email=&sfph_mail= · Correção
• https://twitter.com/VulmonFeeds/status/1754654413233258784 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2024-0834 · Nota de Segurança
• https://twitter.com/CVEnew/status/1754620523890213067 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/addon-elements-for-elementor-page-builder/trunk/modules/price-table/widgets/price-table.php#L784 · Nota