CVE-2024-3267: podatność Stored XSS w wtyczce Bold Page Builder dla WordPress

Co wiadomo

Wtyczka Bold Page Builder dla WordPress do wersji 4.8.8 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w shortcode bt_bb_price_list, wynikającą z niewystarczającej sanitacji i ucieczki danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas przeglądania zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających zainfekowane strony, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący z uprawnieniami współtwórcy mogą eskalować zagrożenie, wpływając na reputację firmy i powodując potencjalne naruszenia danych. Operatorzy CMS powinni traktować tę lukę jako średniego ryzyka, zwłaszcza w środowiskach z wieloma użytkownikami o podwyższonych uprawnieniach.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Bold Page Builder u dostawcy i wdrożenie najnowszej wersji. W międzyczasie ogranicz dostęp do edycji stron użytkownikom o uprawnieniach współtwórcy i wyższych, monitoruj logi pod kątem podejrzanych działań oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i sanitacji danych wejściowych. Priorytetowo traktuj audyt i zabezpieczenie środowiska CMS.

Źródła

• NVD
• Reference
• Reference