CVE-2025-14283: Stored XSS w wtyczce BlockArt Blocks dla WordPress

Co wiadomo

Wtyczka BlockArt Blocks – Gutenberg Blocks, Page Builder Blocks, WordPress Block Plugin, Sections & Template Library jest podatna na atak typu Stored Cross-Site Scripting (XSS) w wersjach do 2.2.14 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych w atrybutach dostarczanych przez użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie i wykonanie złośliwych skryptów w kontekście przeglądarki innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji serwisu. Operatorzy stron opartych na WordPress powinni zweryfikować obecność tej wtyczki i jej wersji, aby ocenić ryzyko.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki BlockArt Blocks i aktualizację do najnowszej dostępnej wersji, jeśli została wydana poprawka. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularne przeglądy i audyty bezpieczeństwa wtyczek WordPress są kluczowe dla minimalizacji ryzyka.

Źródła

• NVD
• Reference
• Reference
• Reference