CVE-2024-13731: Stored Cross-Site Scripting w wtyczce Alert Box Block dla WordPress

Co wiadomo

Wtyczka Alert Box Block dla WordPress do wyświetlania powiadomień na froncie jest podatna na atak Stored Cross-Site Scripting (XSS) w wersjach do 1.1.3 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych w atrybutach użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży danych sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki bez aktualizacji zwiększa ryzyko naruszenia bezpieczeństwa witryny WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Alert Box Block i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto także monitorować oficjalne komunikaty producenta wtyczki dotyczące łatek bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference
• Reference