CVE-2024-0977

O plugin “Timeline Widget For Elementor” (Elementor Timeline, Vertical & Horizontal Timeline) para o WordPress, nas versões até a 1.5.3, inclusive

O problema está relacionado a Stored Cross-Site Scripting (XSS) por meio de URLs de imagens no widget de linha do tempo do plugin, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas em atributos fornecidos pelo usuário. Isso permite que invasores autenticados com permissões de nível de colaborador ou superiores injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar uma página injetada, alterar o tipo de apresentação de slides e, em seguida, voltar a selecionar a opção de imagem.

Para versões até e incluindo a 1.5.3, atualize para uma versão superior à 1.5.3 para resolver o problema. Como solução temporária, considere restringir o acesso ao widget de linha do tempo para usuários com permissões de nível de colaborador ou superior até que um patch esteja disponível. Além disso, evite usar o widget de linha do tempo do plugin com URLs de imagens de fontes não confiáveis.