Открита е уязвимост от тип Stored Cross-Site Scripting (XSS) в плъгина Royal Addons for Elementor за WordPress, която засяга всички версии до и включително 1.7.1056. Проблемът произтича от недостатъчна филтрация на входните данни и липса на правилно ескейпване при извеждане.
Технически детайли
Уязвимостта се намира в Instagram Feed widget, по-конкретно в параметъра:
instagram_follow_text
Този параметър позволява инжектиране на зловреден JavaScript код, който се записва в базата данни (Stored XSS) и се изпълнява автоматично при зареждане на засегнатата страница.
Тип атака: Stored XSS
Ниво на достъп: Потребители с роля Contributor или по-висока
Засегнати версии: ≤ 1.7.1056
Как работи атаката
Атакуващият, разполагащ с Contributor достъп, може да:
- Добави или редактира съдържание, използващо Instagram Feed widget
- Вмъкне зловреден JavaScript код в полето
instagram_follow_text - Запази страницата/поста
След това:
- Всеки потребител, който отвори страницата (включително администратори), ще изпълни инжектирания скрипт
- Това може да доведе до:
- кражба на сесии (cookies)
- пренасочване към зловредни сайтове
- изпълнение на действия от името на жертвата
Потенциално въздействие
Този тип уязвимост е особено опасен, защото:
- Персистира в системата (не е еднократен XSS)
- Може да компрометира администраторски акаунти
- Позволява пълно превземане на сайта при ескалация
Препоръки за защита
Незабавни действия:
- Обновете плъгина до последната налична версия (ако има наличен patch)
- Ако няма налична корекция – временно деактивирайте плъгина
Допълнителни мерки:
- Ограничете достъпа на потребители с роля Contributor
- Прилагайте принципа на минималните привилегии
- Използвайте Web Application Firewall (WAF)
- Проверете за вече инжектиран зловреден код в съдържанието
Уязвимостта в Royal Addons for Elementor е ясен пример за критичен пропуск в обработката на потребителски вход. В среди с множество потребители или външни автори рискът от експлоатация е значително по-висок. Навременната реакция и прилагането на защитни механизми са ключови за предотвратяване на компрометиране.
