Analityczne wykorzystywanie plików cookies
CVE-2024-2504: podatność Stored Cross-Site Scripting w wtyczce Page Builder: Pagelayer
Page Builder: Pagelayer do wersji 1.8.4 ma podatność Stored XSS umożliwiającą ataki przez parametr 'attr'. Zalecane aktualizacje i ograniczenie uprawnień.
- CVSS
- 6.4 MEDIUM
- EPSS
- 35.15%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- pagelayer
Co wiadomo
Wtyczka Page Builder: Pagelayer dla WordPress do wersji 1.8.4 jest podatna na atak Stored Cross-Site Scripting poprzez parametr 'attr' z powodu niewystarczającej sanitacji i ucieczki danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji, defraudacji danych lub dalszych ataków na użytkowników odwiedzających zainfekowane strony. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych i użytkowników witryny.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Page Builder: Pagelayer i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przejrzeć logi pod kątem podejrzanej aktywności oraz monitorować witrynę pod kątem nietypowych zachowań. Warto również rozważyć wdrożenie dodatkowych mechanizmów zabezpieczających przed XSS.