CVE-2024-10678: podatność Stored XSS w wtyczce Ultimate Blocks dla WordPress

Co wiadomo

Wtyczka Ultimate Blocks dla WordPress w wersjach przed 3.2.4 nieprawidłowo waliduje i nie zabezpiecza niektórych opcji bloków przed wyświetleniem, co umożliwia użytkownikom z rolą współpracownika lub wyższą przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS).

Wpływ biznesowy

Podatność ta może pozwolić na wstrzyknięcie złośliwego kodu JavaScript przez użytkowników z uprawnieniami współpracownika i wyższymi, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach CMS opartych na WordPress, gdzie Ultimate Blocks jest używany, istnieje ryzyko naruszenia integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Ultimate Blocks do wersji 3.2.4 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanej aktywności oraz przeglądać i weryfikować zawartość bloków na stronie pod kątem potencjalnych złośliwych skryptów.

Źródła

• NVD
• Reference