CVE-2024-5223: Luka XSS w wtyczce Post Grid Gutenberg Blocks i PostX dla WordPress

Co wiadomo

Wtyczka Post Grid Gutenberg Blocks oraz PostX dla WordPress do wersji 4.1.1 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w funkcji przesyłania plików. Luka umożliwia atakującym z uprawnieniami autora lub wyższymi wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Atakujący z dostępem na poziomie autora mogą wykorzystać lukę do wstrzyknięcia i wykonania złośliwego kodu JavaScript na stronach serwisu, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Właściciele i administratorzy stron powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Post Grid Gutenberg Blocks i PostX oraz ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji przesyłania plików. Niezbędne jest również przeprowadzenie przeglądu zabezpieczeń i edukacja użytkowników o ryzyku XSS.

Źródła

• NVD
• Reference
• Reference
• Reference