CVE-2023-7071: luka XSS w wtyczce Essential Blocks dla WordPress

Co wiadomo

Wtyczka Essential Blocks – Page Builder Gutenberg Blocks, Patterns & Templates dla WordPress do wersji 4.4.6 zawiera lukę typu Stored Cross-Site Scripting (XSS) w bloku Table of Contents. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu, co pozwala użytkownikom z uprawnieniami co najmniej na poziomie współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas przeglądania zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, przejęcia kont lub innych działań naruszających bezpieczeństwo witryny i jej użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Essential Blocks i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przejrzeć logi pod kątem podejrzanej aktywności oraz monitorować witrynę pod kątem nietypowych zachowań. Priorytetowo traktuj aktualizacje i zabezpieczenia wtyczek WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference