CVE-2021-24203
Açıklama
3.1.4 sürümünden önceki Elementor Website Builder WordPress eklentisinde, ayırıcı bileşeni (includes/widgets/divider.php) bir ‘html_tag’ parametresi kabul etmektedir. Öğe kontrolü sabit bir olası HTML etiketleri kümesi listelese de, Katılımcı veya üzeri yetkilere sahip bir kullanıcının, bu parametreyi ‘script’ olarak ayarladığı ve JavaScript içeren bir ‘text’ parametresiyle birleştirdiği değiştirilmiş bir ‘save_builder’ isteği göndermesi mümkündür; bu durum, kaydedilen sayfa görüntülendiğinde veya önizlendiğinde ilgili kodun çalıştırılmasına yol açar.
Nasıl düzeltilir
- elementor website_builder3.1.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| elementor website_builder | v < 3.1.4 | 3.1.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.