CVE-2024-2163: Stored Cross-Site Scripting w wtyczce Ninja Beaver Add-ons dla Beaver Builder

Co wiadomo

Wtyczka Ninja Beaver Add-ons dla Beaver Builder w WordPress do wersji 2.4.5 zawiera lukę typu Stored Cross-Site Scripting (XSS) w widgetach, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych, takich jak adresy URL. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka pozwala na wykonanie złośliwego kodu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań naruszających bezpieczeństwo. Operatorzy stron opartych na WordPress z tą wtyczką powinni traktować problem poważnie, zwłaszcza jeśli mają wielu użytkowników z uprawnieniami współtwórcy lub wyższymi.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Ninja Beaver Add-ons i ich instalację. W przypadku braku łatki warto ograniczyć uprawnienia użytkowników, przejrzeć logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Regularne monitorowanie i priorytetyzacja działań naprawczych jest kluczowa.

Źródła

• NVD
• Reference
• Reference