CVE-2024-1058: podatność Stored Cross-Site Scripting w wtyczce SiteOrigin Widgets Bundle

Co wiadomo

Wtyczka SiteOrigin Widgets Bundle dla WordPressa do wersji 1.58.3 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) związaną z parametrem onclick, wynikającą z niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację serwisu oraz bezpieczeństwo danych klientów.

Rekomendowane działania administratora

Administratorzy powinni jak najszybciej zweryfikować wersję wtyczki SiteOrigin Widgets Bundle i rozważyć aktualizację do najnowszej dostępnej wersji, która zawiera częściową poprawkę. W przypadku braku aktualizacji należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Zaleca się również przegląd i wzmocnienie polityk bezpieczeństwa dotyczących wprowadzania treści przez użytkowników.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference