Luka XSS w wtyczce Spectra Gutenberg Blocks dla WordPress

Co wiadomo

Wtyczka Spectra Gutenberg Blocks – Website Builder dla WordPress jest podatna na przechowywany atak Cross-Site Scripting (XSS) w bloku uagb/image we wszystkich wersjach do 2.19.28 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, co pozwala atakującym z uprawnieniami co najmniej Contributor na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami Contributor lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony przez użytkowników. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron powinni zwrócić uwagę na tę lukę, szczególnie jeśli korzystają z tej wtyczki i mają wielu użytkowników z uprawnieniami edycyjnymi.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Spectra Gutenberg Blocks i jej instalację, jeśli została wydana poprawka. W międzyczasie warto ograniczyć liczbę użytkowników z uprawnieniami Contributor i wyższymi oraz monitorować logi pod kątem podejrzanej aktywności. Warto również rozważyć przegląd i weryfikację wprowadzanych treści przez użytkowników z uprawnieniami edycyjnymi.

Źródła

• NVD
• Reference
• Reference
• Reference