CVE-2024-9505: podatność Stored XSS w wtyczce Beaver Builder dla WordPress

Co wiadomo

Wtyczka Beaver Builder do WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez widget Button we wszystkich wersjach do 2.8.4.2 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa CMS.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Beaver Builder do wersji po 2.8.4.2, jeśli dostępna. W przypadku braku aktualizacji należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz przeglądać zawartość stron pod kątem nieautoryzowanych skryptów. Warto również stosować dodatkowe mechanizmy zabezpieczające przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference