CVE-2024-5289: podatność Stored XSS w wtyczce Gutenberg Blocks with AI

Co wiadomo

Wtyczka Gutenberg Blocks with AI firmy Kadence WP dla WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametry widgetu Google Maps w wersjach do 3.2.42 włącznie. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem do panelu edycji stron wstrzyknięcie złośliwego kodu, co może prowadzić do kradzieży danych użytkowników, przejęcia sesji lub innych działań szkodliwych dla witryny i jej użytkowników. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę poważnie, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie uprawnień.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić audyt istniejących treści pod kątem potencjalnych wstrzyknięć skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference