CVE-2024-9073: luka XSS w wtyczce Free Gutenberg Blocks dla WordPress

Co wiadomo

Wtyczka Free Gutenberg Blocks dla WordPress firmy GutenGeek jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez przesyłanie plików SVG. Luka dotyczy wszystkich wersji do 1.1.3 włącznie i wynika z niewystarczającej sanitacji danych wejściowych oraz braku odpowiedniego zabezpieczenia wyjścia.

Wpływ biznesowy

Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas przeglądania plików SVG przez użytkowników. Może to prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla witryny i jej użytkowników. Operatorzy powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa CMS.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Free Gutenberg Blocks u dostawcy GutenGeek i ich wdrożenie. W międzyczasie ogranicz dostęp do funkcji przesyłania plików SVG do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Warto również przeprowadzić przegląd uprawnień użytkowników i ograniczyć je do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference