阿里云漏洞库

Elementor Addon Elements <= 1.13.6 - 通过多个小部件进行经过身份验证的 (Contributor+) 存储跨站点脚本 (CVE-2024-7122)

CVE编号

CVE-2024-7122

利用情况

暂无

补丁情况

N/A

披露时间

2024-08-30

漏洞描述

WordPress的Elementor Addon Elements插件在版本1.13.6及以下存在存储型跨站脚本漏洞（Stored Cross-Site Scripting）。该漏洞源于对用户提供的属性输入清理和输出转义的不足。因此，具有贡献者级别访问权限及以上的认证攻击者可以在页面中注入任意网页脚本，每当用户访问注入页面时，脚本就会执行。

解决建议

建议您更新当前系统或软件至最新版，完成漏洞的修复。

参考链接
https://plugins.trac.wordpress.org/browser/addon-elements-for-elementor-page-...
https://plugins.trac.wordpress.org/browser/addon-elements-for-elementor-page-...
https://plugins.trac.wordpress.org/browser/addon-elements-for-elementor-page-...
https://plugins.trac.wordpress.org/browser/addon-elements-for-elementor-page-...
https://plugins.trac.wordpress.org/browser/addon-elements-for-elementor-page-...
https://plugins.trac.wordpress.org/changeset/3143440/
https://plugins.trac.wordpress.org/changeset/3143444/
https://wordpress.org/plugins/addon-elements-for-elementor-page-builder/#developers
https://www.wordfence.com/threat-intel/vulnerabilities/id/668621b0-67ef-44fc-...

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	wpvibes	elementor_addon_elements	*		Up to (excluding) 1.13.7

攻击路径

网络
攻击复杂度

低
权限要求

低
影响范围

已更改
用户交互

无
可用性

无
保密性

低
完整性

低

CWE-ID	漏洞类型
CWE-79	在Web页面生成时对输入的转义处理不恰当（跨站脚本）