CVE-2024-1157: podatność Stored Cross-Site Scripting w wtyczce Bold Page Builder

Co wiadomo

Wtyczka Bold Page Builder dla WordPressa do wersji 4.8.0 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez niewystarczającą sanitację i escapowanie adresów URL przycisków. Umożliwia to atakującym z uprawnieniami co najmniej współpracownika wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zmodyfikowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania nieautoryzowanego kodu JavaScript w przeglądarce użytkowników odwiedzających zainfekowane strony, co może skutkować kradzieżą danych sesji, manipulacją treścią lub innymi atakami na użytkowników i administratorów. W środowiskach z wieloma współpracownikami ryzyko wykorzystania jest podwyższone, co może wpłynąć na reputację i bezpieczeństwo witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Bold Page Builder i ich wdrożenie. W przypadku braku łatki warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych działań oraz przeprowadzić audyt zawartości stron pod kątem nieautoryzowanych skryptów. Priorytetowo traktuj aktualizacje i zabezpieczenia wtyczek WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference