CVE-2024-3155: podatność Stored XSS w wtyczkach WordPress Combo Blocks

Co wiadomo

Wtyczki WordPress Post Grid, Form Maker, Popup Maker, WooCommerce Blocks, Post Blocks oraz Post Carousel – Combo Blocks do wersji 2.2.80 zawierają podatność Stored Cross-Site Scripting (XSS) wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta stwarza ryzyko przeprowadzenia ataków XSS, które mogą prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach z wieloma użytkownikami i różnymi poziomami dostępu może to skutkować poważnymi naruszeniami bezpieczeństwa i utratą zaufania klientów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczek Combo Blocks i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie podatnych komponentów. Regularne przeglądy i audyty bezpieczeństwa wtyczek WordPress są wskazane.

Źródła

• NVD
• Reference
• Reference