CVE-2024-1160: podatność Stored Cross-Site Scripting w wtyczce Bold Page Builder

Co wiadomo

Wtyczka Bold Page Builder dla WordPressa do wersji 4.8.0 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w elemencie Icon Link, wynikającą z niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających strony zbudowane za pomocą podatnej wtyczki, co zagraża bezpieczeństwu danych i integralności witryny. Operatorzy CMS powinni zwrócić uwagę na potencjalne ryzyko eskalacji ataków XSS i możliwe naruszenia prywatności lub przejęcia sesji użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Bold Page Builder u dostawcy oraz jej instalację. W przypadku braku łatki warto ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji Icon Link. Priorytetowo traktuj przegląd i zabezpieczenie środowiska CMS.

Źródła

• NVD
• Reference
• Reference