CVE-2023-6645: podatność Stored XSS w wtyczce Post Grid Combo dla WordPress

Co wiadomo

Wtyczka Post Grid Combo – 36+ Gutenberg Blocks dla WordPress zawiera podatność typu Stored Cross-Site Scripting (XSS) w parametrze custom JS we wszystkich wersjach do 2.2.64 włącznie. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań nieautoryzowanych poprzez wykonanie złośliwego kodu w przeglądarce. Operatorzy stron opartych na WordPress powinni traktować tę lukę poważnie, zwłaszcza jeśli korzystają z wtyczki Post Grid Combo i umożliwiają dostęp współtwórcom lub wyższym rolom.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Post Grid Combo u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć uprawnienia użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe. Regularne przeglądy i audyty bezpieczeństwa pomogą zminimalizować ryzyko wykorzystania tej podatności.

Źródła

• NVD
• Reference
• Reference