CVE-2021-24204
Açıklama
Elementor Website Builder WordPress eklentisinin 3.1.4 sürümünden önceki sürümlerinde, accordion bileşeni (includes/widgets/accordion.php) bir ‘title_html_tag’ parametresi kabul etmektedir. Öğe kontrolü sabit bir olası HTML etiketleri kümesi listelese de, Katılımcı veya üzeri yetkilere sahip bir kullanıcının, ‘title_html_tag’ parametresinde filtrelenmeyen ve kaçış karakterleri uygulanmadan çıktı olarak verilen JavaScript içeren değiştirilmiş bir ‘save_builder’ isteği göndermesi mümkündür. Bu JavaScript, kaydedilen sayfa görüntülendiğinde veya önizlendiğinde çalıştırılacaktır.
Nasıl düzeltilir
- elementor website_builder3.1.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| elementor website_builder | v < 3.1.4 | 3.1.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.