Analityczne wykorzystywanie plików cookies
CVE-2023-3410: podatność Stored Cross-Site Scripting w motywie Bricks dla WordPress
Podatność Stored XSS w motywie Bricks dla WordPress do wersji 1.10.1 umożliwia wstrzyknięcie złośliwych skryptów przez uprawnionych użytkowników.
- CVSS
- 5.4 MEDIUM
- EPSS
- 22.09%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- bricks
Co wiadomo
Motyw Bricks dla WordPress w wersjach do 1.10.1 włącznie jest podatny na atak Stored Cross-Site Scripting poprzez atrybut 'customTag' z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.
Wpływ biznesowy
Podatność umożliwia uwierzytelnionym użytkownikom z dostępem do Bricks Builder (domyślnie tylko administratorzy) wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji lub innych ataków na użytkowników odwiedzających zainfekowane strony. Problem nasila się, gdy dostęp do Bricks Builder jest przyznany użytkownikom o niższych uprawnieniach, zwiększając ryzyko nadużyć w środowisku CMS.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji motywu Bricks u dostawcy i ich wdrożenie. W międzyczasie ogranicz dostęp do Bricks Builder wyłącznie do zaufanych administratorów, monitoruj logi pod kątem podejrzanych działań oraz rozważ zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Priorytetowo traktuj audyt uprawnień użytkowników mających dostęp do edytora.