CVE-2024-3563: podatność Stored Cross-Site Scripting w wtyczce Genesis Blocks dla WordPress

Co wiadomo

Wtyczka Genesis Blocks dla WordPress do wersji 3.1.3 włącznie zawiera podatność Stored Cross-Site Scripting w bloku Sharing, wynikającą z niewystarczającej sanitacji i ucieczki danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub wykonania nieautoryzowanych działań w kontekście strony WordPress. Atakujący z uprawnieniami współtwórcy mogą wstrzykiwać złośliwy kod, co stwarza ryzyko dla integralności i bezpieczeństwa witryny oraz jej użytkowników. W środowiskach produkcyjnych może to skutkować utratą zaufania klientów i potencjalnymi stratami finansowymi.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Genesis Blocks i ich wdrożenie, jeśli są dostępne. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy oraz monitorować logi pod kątem podejrzanych działań. Warto również przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem wstrzykniętych skryptów. DataHouse wspiera weryfikację wersji oprogramowania oraz monitorowanie i ograniczanie ekspozycji sieciowej w celu minimalizacji ryzyka.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference