Luka XSS w wtyczce Gutenberg Essential Blocks dla WordPress

Co wiadomo

Wtyczka Gutenberg Essential Blocks – Page Builder for Gutenberg Blocks & Patterns dla WordPress jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez atrybut bloku 'configurablePrefix' we wszystkich wersjach do 6.1.4 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki danych wyjściowych, co pozwala użytkownikom z uprawnieniami co najmniej Contributor na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie Contributor lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki bez aktualizacji zwiększa ryzyko naruszenia bezpieczeństwa witryny WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Gutenberg Essential Blocks i ich wdrożenie. W przypadku braku natychmiastowej aktualizacji warto ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularna weryfikacja i stosowanie najlepszych praktyk bezpieczeństwa WordPress jest kluczowa.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference