PT-2024-27034 · WordPress · Elementskit Elementor Addons Plugin

Wesley · Publicado 2024-05-02 · Atualizado 2025-01-16 · CVE-2024-3650

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do software vulnerável e versões afetadas

Plugin ElementsKit Elementor addons para o WordPress, versões 3.0.7 a 3.1.2

Descrição

A vulnerabilidade está relacionada a Stored Cross-Site Scripting (XSS) por meio do widget Image Accordion, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas. Isso permite que invasores autenticados com acesso de nível de colaborador ou superior injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página infectada.

Recomendações

Para as versões 3.0.7 a 3.1.2, considere desativar o widget Image Accordion até que uma correção esteja disponível para impedir a exploração. Restrinja o acesso a páginas que possam ter sido injetadas com scripts maliciosos para minimizar o risco de execução. Evite usar o widget Image Accordion em áreas sensíveis do site até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2024-3650

Produtos afetados

Elementskit Elementor Addons Plugin

Referências · 6

• https://wordfence.com/threat-intel/vulnerabilities/id/93dcbab7-fdf5-4631-8605-77f8f190512d?source=cve · Nota
• https://osv.dev/vulnerability/CVE-2024-3650 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-3650 · Nota de Segurança
• https://t.me/cvenotify/107630 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/3078160/elementskit-lite · Correção
• https://twitter.com/CVEnew/status/1786082079844741571 · Publicação no Twitter