CVE-2024-12045: podatność Stored XSS w wtyczce Essential Blocks dla WordPress

Co wiadomo

Wtyczka Essential Blocks – Page Builder Gutenberg Blocks, Patterns & Templates dla WordPress do wersji 5.0.9 jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez niewystarczającą sanitację i escapowanie danych w polu tytułu bloku Google Maps. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Operatorzy powinni rozważyć ryzyko związane z możliwością eskalacji ataku i utraty kontroli nad stroną.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Essential Blocks u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp administratorów, monitorować logi pod kątem podejrzanych działań oraz zweryfikować konfigurację multisite i ustawienia unfiltered_html. Priorytetem jest minimalizacja ekspozycji i szybka reakcja na potencjalne incydenty.

Źródła

• NVD
• Reference
• Reference