CVE-2024-13582: podatność XSS w wtyczce Simple Pricing Tables dla WPBakery

Co wiadomo

Wtyczka Simple Pricing Tables dla WPBakery Page Builder (dawniej Visual Composer) w wersjach do 1.0 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode 'wdo_simple_pricing_table_free'. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych użytkownika.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas przeglądania zainfekowanych stron. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i administratorów serwisu.

Rekomendowane działania administratora

Zaleca się sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich szybkie wdrożenie. W międzyczasie ogranicz dostęp do edycji treści tylko do zaufanych użytkowników, monitoruj logi pod kątem podejrzanej aktywności i rozważ zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference