CVE-2024-5576

Plugin Tutor LMS Elementor Addons para o WordPress, versões até a 2.1.4, inclusive

O problema está relacionado a Stored Cross-Site Scripting (XSS armazenado) por meio do atributo course carousel skin no widget Course Carousel do plugin. Isso se deve à sanitização insuficiente de entradas e à falta de escapamento de saídas em atributos fornecidos pelo usuário, possibilitando que invasores autenticados com acesso de nível de colaborador ou superior injetem scripts web arbitrários nas páginas. Esses scripts serão executados sempre que um usuário acessar uma página infectada.

Para versões até a 2.1.4, inclusive, atualize para uma versão que inclua a sanitização de entrada e o escape de saída necessários para prevenir ataques de Stored Cross-Site Scripting. Como solução temporária, considere restringir o acesso ao widget Course Carousel para usuários com acesso de nível de colaborador ou superior até que um patch esteja disponível. Além disso, restrinja o uso do atributo course carousel skin para minimizar o risco de exploração.