CVE-2025-4682: Luka XSS w wtyczce Essential Blocks dla WordPress

Co wiadomo

Wtyczka Essential Blocks – Page Builder Gutenberg Blocks, Patterns & Templates dla WordPress zawiera lukę typu Stored Cross-Site Scripting (XSS) w widgetach Slider i Post Carousel we wszystkich wersjach do 5.4.0 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, co pozwala użytkownikom z uprawnieniami co najmniej Contributor na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami Contributor lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub dalszych ataków na użytkowników i administratorów. Organizacje korzystające z tej wtyczki mogą doświadczyć naruszenia integralności i bezpieczeństwa swoich stron WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Essential Blocks i jej zastosowanie, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie podatnych widgetów. Regularne przeglądy bezpieczeństwa i edukacja użytkowników o zasadach bezpiecznego korzystania z CMS są również wskazane.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference