CVE-2024-5901: podatność Stored XSS w wtyczce SiteOrigin Widgets Bundle

Co wiadomo

Wtyczka SiteOrigin Widgets Bundle dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez widget Image Grid w wersjach do 1.62.2 włącznie. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych użytkownika, co umożliwia atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność pozwala na wykonanie złośliwych skryptów w kontekście przeglądarki użytkownika odwiedzającego zainfekowaną stronę, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy stron opartych na WordPress z tą wtyczką powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki SiteOrigin Widgets Bundle i jej instalację. W przypadku braku łatki warto ograniczyć uprawnienia użytkowników, szczególnie tych z dostępem co najmniej na poziomie współtwórcy, oraz monitorować logi serwera i aplikacji pod kątem podejrzanej aktywności. Dodatkowo warto przeprowadzić przegląd i wzmocnienie mechanizmów sanitacji danych wejściowych w środowisku WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference