Analityczne wykorzystywanie plików cookies
CVE-2024-5255: podatność Stored XSS w wtyczce Ultimate Addons for WPBakery
Podatność Stored XSS w wtyczce Ultimate Addons for WPBakery umożliwia atakującym z uprawnieniami współpracownika wstrzyknięcie złośliwych skryptów. Zalecana aktualizacja i ograniczenie uprawnień.
- CVSS
- 6.4 MEDIUM
- EPSS
- 21.95%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- ultimate addons for wpbakery page builder
Co wiadomo
Wtyczka Ultimate Addons for WPBakery dla WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode ultimate_dual_color we wszystkich wersjach do 3.19.20 włącznie. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala atakującym z uprawnieniami co najmniej na poziomie współpracownika na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Podatność umożliwia atakującym z dostępem współpracownika lub wyższym wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPressa, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub dalszych ataków. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę poważnie, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie uprawnień.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Ultimate Addons for WPBakery i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji shortcode ultimate_dual_color. Regularne przeglądy i audyty bezpieczeństwa pomogą zminimalizować ryzyko wykorzystania tej podatności.