CVE-2024-2925: podatność Stored XSS w wtyczce Beaver Builder dla WordPress

Co wiadomo

Wtyczka Beaver Builder dla WordPress do wersji 2.8.0.5 zawiera podatność typu Stored Cross-Site Scripting w widżecie przycisku, wynikającą z niewystarczającej sanitacji i ucieczki danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających zainfekowane strony, co zagraża bezpieczeństwu danych i może wpłynąć na reputację serwisu. Administratorzy stron korzystających z Beaver Builder powinni traktować tę lukę jako istotne ryzyko, szczególnie w środowiskach z wieloma użytkownikami o podwyższonych uprawnieniach.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Beaver Builder u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie widżetu przycisku, jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference
• Reference