CVE-2024-1159: podatność Stored XSS w wtyczce Bold Page Builder dla WordPress

Co wiadomo

Wtyczka Bold Page Builder dla WordPress do wersji 4.8.0 włącznie zawiera lukę Stored Cross-Site Scripting (XSS) wynikającą z niewystarczającej sanitacji i escapingu atrybutów shortcode. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Ta luka pozwala na eskalację ataków XSS, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach CMS opartych na WordPress, gdzie wtyczka jest używana, może to skutkować utratą zaufania użytkowników i potencjalnymi naruszeniami bezpieczeństwa danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Bold Page Builder u dostawcy i ich wdrożenie. W międzyczasie ogranicz uprawnienia użytkowników do minimum niezbędnego oraz monitoruj logi pod kątem podejrzanych działań. Warto również przeprowadzić przegląd i oczyszczenie istniejących stron pod kątem potencjalnych zainfekowanych shortcode'ów.

Źródła

• NVD
• Reference
• Reference