Analityczne wykorzystywanie plików cookies
CVE-2024-10175: Stored XSS w wtyczce Pricing Tables dla WPBakery Page Builder
Podatność Stored XSS w wtyczce Pricing Tables dla WPBakery Page Builder umożliwia atakującym z uprawnieniami współautora wstrzyknięcie złośliwego kodu. Zalecane aktualizacje i monitorowanie.
- CVSS
- 6.4 MEDIUM
- EPSS
- 17.6%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Pricing Tables dla WPBakery Page Builder (dawniej Visual Composer) do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode wdo_pricing_tables w wersjach do 1.4 włącznie. Atakujący z uprawnieniami co najmniej współautora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność umożliwia atakującym z uprawnieniami współautora lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub dalszych ataków na infrastrukturę WordPress. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Pricing Tables i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularnie przeglądaj i audytuj uprawnienia użytkowników w WordPress.