CVE-2024-0897: podatność Stored XSS w wtyczce Beaver Builder dla WordPress

Co wiadomo

Wtyczka Beaver Builder dla WordPress do wersji 2.7.4.2 zawiera podatność typu Stored Cross-Site Scripting (XSS) w parametrze URL obrazka, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami współautora lub wyższymi wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzenia zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających zainfekowane strony, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący z uprawnieniami współautora mogą wykorzystać tę lukę do eskalacji ataku, wpływając na reputację i zaufanie do serwisu. Operatorzy CMS powinni traktować tę lukę jako istotne ryzyko dla bezpieczeństwa stron opartych na Beaver Builder.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Beaver Builder u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz przeglądać zawartość stron pod kątem nieautoryzowanych skryptów. Priorytetem jest szybka reakcja i minimalizacja ekspozycji na atak.

Źródła

• NVD
• Reference
• Reference