CVE-2024-7132: Luka XSS w wtyczce coblocks dla WordPress

Co wiadomo

Wtyczka Page Builder Gutenberg Blocks (coblocks) w wersjach przed 3.1.13 nieprawidłowo obsługuje osadzanie treści w jednym z bloków, co może umożliwić użytkownikom z uprawnieniami do publikacji (np. redaktorom i administratorom) przeprowadzenie ataków typu Stored Cross-Site Scripting, nawet gdy uprawnienie unfiltered_html jest wyłączone.

Wpływ biznesowy

Atakujący z uprawnieniami do publikacji mogą wstrzyknąć złośliwy kod JavaScript, co może prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i administratorów serwisu. W środowiskach multisite, gdzie unfiltered_html jest zazwyczaj wyłączone, luka nadal pozostaje aktywna, zwiększając ryzyko naruszeń bezpieczeństwa.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki coblocks do wersji 3.1.13 lub nowszej udostępnionej przez dostawcę. W międzyczasie warto ograniczyć uprawnienia do publikacji tylko do zaufanych użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz przeglądać i weryfikować treści publikowane przez redaktorów.

Źródła

• NVD
• Reference