CVE-2024-5424: Stored XSS w wtyczce Gallery Blocks with Lightbox dla WordPress

Co wiadomo

Wtyczka Gallery Blocks with Lightbox dla WordPress do wersji 3.2.1 zawiera podatność typu Stored Cross-Site Scripting (XSS) w parametrach 'galleryID' i 'className'. Umożliwia to atakującym z uprawnieniami co najmniej na poziomie Współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do kradzieży sesji użytkowników, manipulacji zawartością strony lub innych działań zagrażających bezpieczeństwu i integralności serwisu. Atakujący z uprawnieniami współtwórcy mogą wykorzystać lukę do eskalacji ataku na innych użytkowników, co stanowi poważne ryzyko dla właścicieli i administratorów stron WordPress korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Gallery Blocks with Lightbox i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz monitorować strony pod kątem nieautoryzowanych zmian. Warto także rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference