Luka wtyczki Ultimate Blocks dla WordPress umożliwiająca ataki XSS

Co wiadomo

Wtyczka Ultimate Blocks dla WordPress w wersjach przed 3.1.7 nieprawidłowo waliduje i nie zabezpiecza niektórych opcji bloków przed wyświetleniem, co pozwala użytkownikom z rolą współautora i wyższą na przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS).

Wpływ biznesowy

Atakujący z uprawnieniami współautora lub wyższymi mogą wstrzykiwać złośliwy kod JavaScript, który zostanie wykonany u innych użytkowników odwiedzających stronę. Może to prowadzić do kradzieży danych sesji, manipulacji treścią lub dalszych ataków na infrastrukturę IT. Zagrożenie to wymaga uwagi administratorów stron opartych na WordPress z zainstalowaną wtyczką Ultimate Blocks.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Ultimate Blocks do wersji 3.1.7 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych aktywności oraz przeglądać i weryfikować zawartość bloków na stronie pod kątem potencjalnych złośliwych skryptów.

Źródła

• NVD
• Reference