CVE-2024-1070: podatność Stored XSS w wtyczce SiteOrigin Widgets Bundle

Co wiadomo

Wtyczka SiteOrigin Widgets Bundle dla WordPressa do wersji 1.58.2 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez atrybut features z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających zainfekowane strony, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wykorzystać tę lukę do eskalacji ataku i potencjalnego przejęcia kontroli nad stroną. Właściciele i administratorzy stron korzystających z tej wtyczki powinni traktować tę podatność jako średniego ryzyka, wymagającą szybkiej reakcji.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki SiteOrigin Widgets Bundle i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo warto przeprowadzić przegląd i oczyszczenie zawartości stron pod kątem potencjalnych złośliwych skryptów oraz stosować mechanizmy zabezpieczające przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference