CVE-2024-7588: Stored XSS w wtyczce Gutenberg Blocks ComboBlocks dla WordPress

Co wiadomo

Wtyczka Gutenberg Blocks, Page Builder – ComboBlocks dla WordPress zawiera lukę typu Stored Cross-Site Scripting (XSS) w bloku Accordion we wszystkich wersjach do 2.2.87 włącznie. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współautora na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami współautora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań naruszających bezpieczeństwo i integralność witryny WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki ComboBlocks i ich wdrożenie. W przypadku braku natychmiastowej aktualizacji ogranicz dostęp użytkowników do poziomu współautora i wyższego oraz monitoruj logi pod kątem podejrzanej aktywności. Przeprowadź przegląd i oczyszczenie istniejących treści pod kątem potencjalnych złośliwych skryptów.

Źródła

• NVD
• Reference
• Reference