CVE-2024-4158: podatność Stored XSS w motywie Blocksy dla WordPress

Co wiadomo

Motyw Blocksy dla WordPress w wersjach do 2.0.42 włącznie jest podatny na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr 'tagName'. Atakujący z uprawnieniami co najmniej współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współpracownika i wyższymi wstrzykiwanie złośliwego kodu, co może prowadzić do kradzieży danych sesji, manipulacji treścią strony lub dalszych ataków na użytkowników. W środowiskach korzystających z motywu Blocksy istnieje ryzyko naruszenia integralności i bezpieczeństwa witryny, co może wpłynąć na reputację i zaufanie klientów.

Rekomendowane działania administratora

Administratorzy powinni zweryfikować dostępność aktualizacji motywu Blocksy i zastosować najnowsze poprawki od twórców. W przypadku braku natychmiastowej aktualizacji zaleca się ograniczenie uprawnień użytkowników do niezbędnego minimum, monitorowanie logów pod kątem podejrzanych działań oraz przegląd i oczyszczenie istniejących treści pod kątem złośliwych skryptów.

Źródła

• NVD
• Reference
• Reference