Analityczne wykorzystywanie plików cookies
CVE-2024-9457: podatność Stored XSS w wtyczce WP Builder dla WordPress
Wtyczka WP Builder do WordPress ma lukę XSS w plikach SVG. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 6.4 MEDIUM
- EPSS
- 21.6%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wp builder
Co wiadomo
Wtyczka WP Builder dla WordPress do wersji 3.0.7 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez przesyłanie plików SVG. Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się przy każdym dostępie do takiego pliku.
Wpływ biznesowy
Podatność umożliwia atakującym z dostępem na poziomie autora wstrzyknięcie i wykonanie złośliwych skryptów w kontekście użytkowników odwiedzających strony z załadowanymi plikami SVG. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań zagrażających bezpieczeństwu witryny i jej użytkowników. Operatorzy powinni traktować tę lukę jako istotne ryzyko dla integralności i bezpieczeństwa CMS.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Builder u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia do przesyłania plików SVG tylko do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanych działań. Przegląd i weryfikacja przesyłanych plików SVG pod kątem złośliwego kodu również może pomóc w ograniczeniu ryzyka.