CVE-2024-5253: podatność Stored XSS w wtyczce Ultimate Addons for WPBakery

Co wiadomo

Wtyczka Ultimate Addons for WPBakery dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode ult_team w wersjach do 3.19.20 włącznie. Problem wynika z niewystarczającej sanitizacji i ucieczki danych wejściowych, co pozwala uwierzytelnionym użytkownikom z uprawnieniami co najmniej współpracownika na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współpracownika lub wyższymi wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPressa, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Operatorzy powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa CMS i użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Ultimate Addons for WPBakery u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji shortcode ult_team, jeśli to możliwe. Priorytetowo należy ocenić ryzyko i wdrożyć odpowiednie środki zapobiegawcze.

Źródła

• NVD
• Reference
• Reference