CVE-2024-3266: podatność Stored XSS w wtyczce Bold Page Builder dla WordPress

Co wiadomo

Wtyczka Bold Page Builder dla WordPress do wersji 4.8.8 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez atrybut URL widgetów. Problem wynika z niewystarczającej sanitacji i escapingu danych wprowadzanych przez użytkownika, co umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Podatność pozwala na wykonanie złośliwych skryptów w kontekście przeglądarki użytkownika odwiedzającego zainfekowaną stronę, co może prowadzić do kradzieży danych sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy stron opartych na WordPress z zainstalowaną wtyczką Bold Page Builder powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa i prywatności użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Bold Page Builder u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, szczególnie dla ról z możliwością edycji widgetów. Dodatkowo należy monitorować logi serwera i aplikacji pod kątem podejrzanych działań oraz rozważyć przegląd i oczyszczenie istniejących treści pod kątem potencjalnych wstrzyknięć skryptów.

Źródła

• NVD
• Reference
• Reference