CVE-2024-0961: podatność Stored XSS w wtyczce SiteOrigin Widgets Bundle dla WordPress

Co wiadomo

Wtyczka SiteOrigin Widgets Bundle dla WordPress do wersji 1.58.1 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) w edytorze kodu, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zmodyfikowanych stron.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających strony z wstrzykniętym skryptem, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wykorzystać tę lukę do eskalacji uprawnień lub kradzieży sesji, co wymaga uwagi administratorów stron korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki SiteOrigin Widgets Bundle i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie edytora kodu w wtyczce. Regularna weryfikacja i audyt bezpieczeństwa witryny są również wskazane.

Źródła

• NVD
• Reference
• Reference
• Reference