Analityczne wykorzystywanie plików cookies
CVE-2024-2734: podatność Stored Cross-Site Scripting w wtyczce Bold Page Builder
Wtyczka Bold Page Builder do WordPress ma lukę XSS umożliwiającą ataki przez użytkowników z uprawnieniami współtwórcy. Zalecane aktualizacje i ograniczenia uprawnień.
- CVSS
- 6.4 MEDIUM
- EPSS
- 41.13%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- bold page builder
Co wiadomo
Wtyczka Bold Page Builder dla WordPress do wersji 4.8.8 włącznie zawiera lukę Stored Cross-Site Scripting (XSS) w funkcjach AI, wynikającą z niewystarczającej sanitacji i ucieczki danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.
Wpływ biznesowy
Luka pozwala na wykonanie złośliwego kodu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy CMS powinni traktować tę podatność jako istotne zagrożenie, szczególnie w środowiskach z wieloma użytkownikami o różnym poziomie uprawnień.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Bold Page Builder u dostawcy oraz ich zastosowanie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć dodatkowe mechanizmy filtrowania i walidacji danych wejściowych.