CVE-2024-6296: Stored Cross-Site Scripting w wtyczce Stackable – Page Builder Gutenberg Blocks dla WordPress

Co wiadomo

Wtyczka Stackable – Page Builder Gutenberg Blocks do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr 'data-caption' w wersjach do 3.13.1 włącznie. Atakujący z uprawnieniami co najmniej na poziomie Współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem do panelu WordPressa na poziomie Współtwórcy lub wyższym wstrzyknięcie złośliwego kodu, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub dalszych ataków na odwiedzających stronę. Może to negatywnie wpłynąć na reputację firmy oraz bezpieczeństwo jej klientów i pracowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Stackable – Page Builder Gutenberg Blocks i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić audyt stron pod kątem wstrzykniętego kodu. Priorytetowo traktuj aktualizacje i zabezpieczenia środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference