CVE-2024-2392: podatność Stored XSS w wtyczce Blocksy Companion dla WordPress

Co wiadomo

Wtyczka Blocksy Companion dla WordPress do wersji 2.0.31 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w widżecie Newsletter, wynikającą z niewystarczającej sanitacji i ucieczki danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współpracownika wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta stanowi zagrożenie dla bezpieczeństwa witryn opartych na WordPress z zainstalowaną wtyczką Blocksy Companion, pozwalając na wykonanie złośliwego kodu w kontekście użytkownika. Może to prowadzić do kradzieży danych sesji, manipulacji treścią strony lub dalszych ataków na użytkowników. Operatorzy powinni traktować tę lukę jako istotną, zwłaszcza w środowiskach z wieloma użytkownikami o podwyższonych uprawnieniach.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Blocksy Companion u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć liczbę użytkowników z uprawnieniami co najmniej współpracownika oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo, przegląd i wzmocnienie mechanizmów sanitacji danych wejściowych w środowisku WordPress może pomóc w ograniczeniu ryzyka.

Źródła

• NVD
• Reference
• Reference