CVE-2024-3818: podatność Stored XSS w wtyczce Essential Blocks dla WordPress

Co wiadomo

Wtyczka Essential Blocks – Page Builder Gutenberg Blocks, Patterns & Templates dla WordPress do wersji 4.5.9 włącznie zawiera podatność typu Stored Cross-Site Scripting w bloku „Social Icons”. Pozwala ona uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem współtwórcy lub wyższym eskalację ataku poprzez wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach CMS, gdzie wielu użytkowników ma dostęp do edycji treści, ryzyko wykorzystania tej luki jest istotne i może wpłynąć na reputację oraz bezpieczeństwo witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Essential Blocks u dostawcy oraz ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych działań oraz przeprowadzić audyt zawartości stron pod kątem możliwych wstrzyknięć skryptów. Warto również rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających, takich jak Web Application Firewall.

Źródła

• NVD
• Reference
• Reference