PT-2024-18862 · WordPress · All-In-One Addons For Elementor – Widgetkit
Francesco Carlucci
·
Publicado
2024-04-12
·
Atualizado
2024-04-12
·
CVE-2024-2137
CVSS v3.1
6.4
Média
| Vetor | AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N |
Nome do software vulnerável e versões afetadas
All-in-One Addons for Elementor – plugin WidgetKit para versões do WordPress até a 2.4.8, inclusive
Descrição
O problema está relacionado a Stored Cross-Site Scripting (XSS) por meio de vários widgets de preços, como Pricing Single, Pricing Icon e Pricing Tab, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas. Isso permite que invasores autenticados com acesso de nível de colaborador ou superior injetem scripts web arbitrários nas páginas, os quais serão executados quando um usuário acessar uma página infectada.
Recomendações
Para versões até a 2.4.8, inclusive, atualize para uma versão superior à 2.4.8 para resolver o problema.
Como solução alternativa temporária, considere restringir o acesso aos widgets de preços (por exemplo, Pricing Single, Pricing Icon, Pricing Tab) para minimizar o risco de exploração.
Correção
XSS
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
All-In-One Addons For Elementor – Widgetkit