CVE-2024-1293: podatność Stored XSS w wtyczce Brizy dla WordPress

Co wiadomo

Wtyczka Brizy – Page Builder dla WordPress do wersji 2.4.40 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w bloku niestandardowym osadzania mediów, wynikającą z niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonają się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać skrypty, co może skutkować kradzieżą sesji, manipulacją treścią lub dalszymi atakami na użytkowników. Właściciele stron powinni traktować tę lukę jako istotne ryzyko dla bezpieczeństwa CMS.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Brizy i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Priorytetem jest szybka weryfikacja i wdrożenie poprawek.

Źródła

• NVD
• Reference
• Reference