Analityczne wykorzystywanie plików cookies
CVE-2024-1164: podatność Stored XSS w wtyczce Brizy dla WordPress
Wtyczka Brizy dla WordPress ma lukę Stored XSS umożliwiającą wstrzykiwanie skryptów przez użytkowników z uprawnieniami współtwórcy i wyższymi.
- CVSS
- 6.4 MEDIUM
- EPSS
- 16.86%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- brizy
Co wiadomo
Wtyczka Brizy – Page Builder dla WordPress jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez komunikaty błędów i adresy przekierowań w widżecie formularza kontaktowego. Luka dotyczy wszystkich wersji do 2.4.43 włącznie i wynika z niewystarczającej sanitacji danych wejściowych oraz braku odpowiedniego escapingu wyjścia.
Wpływ biznesowy
Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonają się na stronach odwiedzanych przez użytkowników. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań naruszających bezpieczeństwo i integralność witryny. Właściciele stron powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa CMS.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Brizy i ich wdrożenie. W przypadku braku natychmiastowej łatki, ogranicz uprawnienia użytkowników do minimum, monitoruj logi pod kątem podejrzanych działań oraz rozważ tymczasowe wyłączenie widżetu formularza kontaktowego. Regularnie przeglądaj i audytuj konfigurację oraz stosuj zasady minimalnych uprawnień.