CVE-2024-1948: podatność Stored XSS w wtyczce Getwid dla WordPress

Co wiadomo

Wtyczka Getwid – Gutenberg Blocks dla WordPress do wersji 2.0.5 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) z powodu niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających zainfekowane strony, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wykorzystać tę lukę do eskalacji uprawnień lub kradzieży sesji. Operatorzy CMS powinni traktować tę lukę jako istotne ryzyko dla bezpieczeństwa środowiska WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Getwid u dostawcy i wdrożenie najnowszej wersji eliminującej podatność. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz stosować mechanizmy zabezpieczające przed XSS. Regularne przeglądy i audyty bezpieczeństwa wtyczek CMS są kluczowe dla minimalizacji ryzyka.

Źródła

• NVD
• Reference
• Reference