CVE-2024-8288: Stored XSS w Guten Post Layout dla WordPress

Co wiadomo

Wtyczka Guten Post Layout dla WordPress do wersji 1.2.4 zawiera lukę typu Stored Cross-Site Scripting (XSS) w atrybucie 'align' bloku Gutenberg 'wp:guten-post-layout/post-grid'. Luka umożliwia uwierzytelnionym użytkownikom z uprawnieniami co najmniej Contributor wstrzyknięcie złośliwego kodu wykonywanego przy odwiedzeniu strony.

Wpływ biznesowy

Atakujący z dostępem Contributor lub wyższym mogą wstrzyknąć złośliwe skrypty, które będą wykonywane u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań naruszających bezpieczeństwo witryny i jej użytkowników. Wpływa to na integralność i zaufanie do serwisu WordPress korzystającego z tej wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Guten Post Layout i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie bloku post-grid. Regularnie przeglądaj i audytuj zawartość stron pod kątem nieautoryzowanych skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference