CVE-2024-4666: podatność Stored XSS w wtyczce Borderless dla WordPress

Co wiadomo

Wtyczka Borderless – Widgets, Elements, Templates and Toolkit for Elementor & Gutenberg dla WordPress do wersji 1.5.3 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) wynikającą z niewystarczającej sanitacji i ucieczki danych wejściowych w atrybutach użytkownika. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzykiwanie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, defacementu strony lub innych działań szkodliwych dla użytkowników i właścicieli witryny. W środowiskach biznesowych może to skutkować utratą zaufania klientów oraz naruszeniem bezpieczeństwa danych.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki Borderless i zastosować najnowszą wersję udostępnioną przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji zaleca się ograniczenie uprawnień użytkowników do niezbędnego minimum, monitorowanie logów pod kątem podejrzanych działań oraz przegląd i oczyszczenie istniejących treści pod kątem złośliwych skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference