CVE-2024-8426: podatność Cross-Site Scripting w wtyczce Page Builder: Pagelayer

Co wiadomo

Wtyczka WordPress Page Builder: Pagelayer w wersjach przed 1.8.8 nie sanitizuje i nie zabezpiecza niektórych ustawień, co umożliwia użytkownikom z wysokimi uprawnieniami, np. administratorom, przeprowadzenie ataków Cross-Site Scripting, nawet gdy opcja unfiltered_html jest wyłączona.

Wpływ biznesowy

Ta luka może pozwolić administratorom na wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych ataków skierowanych na użytkowników i infrastrukturę. W środowiskach CMS, gdzie bezpieczeństwo danych i integralność witryny są kluczowe, taka podatność stanowi istotne zagrożenie dla reputacji i stabilności systemu.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Page Builder: Pagelayer do wersji 1.8.8 lub nowszej, w której luka została załatana. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz dostęp do panelu administracyjnego wyłącznie do zaufanych użytkowników, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń w warstwie aplikacji.

Źródła

• NVD
• Reference