CVE-2024-2140: podatność Stored XSS w Ultimate Addons for Beaver Builder

Co wiadomo

Wtyczka Ultimate Addons for Beaver Builder – Lite dla WordPressa do wersji 1.5.7 włącznie zawiera podatność typu Stored Cross-Site Scripting w widżecie Advanced Icons, wynikającą z niewystarczającej sanitacji danych wejściowych i ucieczki znaków. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący z uprawnieniami współtwórcy mogą wstrzykiwać skrypty, co zwiększa ryzyko eskalacji ataku i utraty zaufania użytkowników. Operatorzy CMS powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa stron opartych na WordPress z tym dodatkiem.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Ultimate Addons for Beaver Builder i ich instalację. W przypadku braku łatki warto ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie widżetu Advanced Icons. Regularne przeglądy bezpieczeństwa i szybkie reagowanie na incydenty są kluczowe.

Źródła

• NVD
• Reference
• Reference