CVE-2024-3725: podatność Stored XSS w wtyczce Otter Blocks dla WordPress

Co wiadomo

Wtyczka Otter Blocks – Gutenberg Blocks, Page Builder dla WordPress jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez widget Post Grid w wersjach do 2.6.9 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem na poziomie współtwórcy wstrzyknięcie i wykonanie złośliwych skryptów w kontekście przeglądarki użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Otter Blocks i ich wdrożenie. W przypadku braku natychmiastowej poprawki należy ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo warto przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem złośliwych skryptów oraz stosować mechanizmy zabezpieczające przed XSS.

Źródła

• NVD
• Reference
• Reference