CVE-2024-13427: Wrażliwość Stored XSS w wtyczce Page Builder: Pagelayer dla WordPress

Co wiadomo

Wtyczka Page Builder: Pagelayer do WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez widget przycisku we wszystkich wersjach do 2.0.0 włącznie, z powodu niewystarczającej sanitacji i ucieczki danych wejściowych. Atakujący z uprawnieniami co najmniej współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z poziomem współpracownika lub wyższym wstrzykiwanie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i właścicieli serwisu. Może to obniżyć zaufanie do witryny oraz narazić na ryzyko dane użytkowników i reputację firmy.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Page Builder: Pagelayer do wersji 2.0.1 lub nowszej, w której podatność została całkowicie załatana. W przypadku braku możliwości aktualizacji, ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie widgetu przycisku. Regularnie przeglądać i stosować poprawki bezpieczeństwa dostarczane przez producenta.

Źródła

• NVD
• Reference
• Reference