CVE-2024-1805: podatność Stored Cross-Site Scripting w wtyczce wpbakery page builder

Co wiadomo

Wtyczka wpbakery dla WordPress do wersji 7.5 włącznie zawiera lukę Stored Cross-Site Scripting w atrybucie onclick przycisku, wynikającą z niewystarczającej sanitacji i ucieczki danych wejściowych. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka ta pozwala na wykonanie złośliwego kodu w przeglądarce użytkowników odwiedzających strony zainfekowane przez atakującego posiadającego dostęp do edycji treści. Może to prowadzić do kradzieży sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa serwisu. Operatorzy CMS powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa witryn opartych na WordPress z wtyczką wpbakery.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki wpbakery i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych działań oraz rozważyć dodatkowe mechanizmy filtrowania i walidacji treści wprowadzanych przez użytkowników. Priorytetowo należy zabezpieczyć konta z uprawnieniami edycyjnymi.

Źródła

• NVD
• Reference
• Reference