Analityczne wykorzystywanie plików cookies
CVE-2024-4891: podatność Stored Cross-Site Scripting w Essential Blocks dla WordPress
Podatność XSS w wtyczce Essential Blocks dla WordPress umożliwia ataki przez wstrzyknięcie skryptów. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 37.91%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- essential blocks
Co wiadomo
Wtyczka Essential Blocks – Page Builder Gutenberg Blocks, Patterns & Templates dla WordPress w wersjach do 4.5.12 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'tagName' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność ta umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych i użytkowników korzystających z serwisu opartego na WordPress.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Essential Blocks i ich zastosowanie. W przypadku braku natychmiastowej aktualizacji należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz monitorować strony pod kątem nieautoryzowanych zmian. Priorytetowo traktuj wdrożenie poprawek bezpieczeństwa od dostawcy.