CVE-2024-4943: podatność Stored XSS w motywie Blocksy dla WordPress

Co wiadomo

Motyw Blocksy dla WordPress do wersji 2.0.46 włącznie jest podatny na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'has_field_link_rel'. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem na poziomie Współpracownika lub wyższym wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPress korzystających z motywu Blocksy. Może to prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny oraz jej użytkowników.

Rekomendowane działania administratora

Administratorzy powinni jak najszybciej zweryfikować dostępność aktualizacji motywu Blocksy u dostawcy i zastosować je, jeśli są dostępne. W międzyczasie zaleca się ograniczenie uprawnień użytkowników do niezbędnego minimum, monitorowanie logów pod kątem podejrzanej aktywności oraz przegląd konfiguracji zabezpieczeń aplikacji webowej w celu minimalizacji ryzyka wykorzystania podatności.

Źródła

• NVD
• Reference
• Reference