Luka XSS w wtyczce Livemesh Addons for Beaver Builder dla WordPress

Co wiadomo

Wtyczka Livemesh Addons for Beaver Builder do WordPressa jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez akcję AJAX `labb_admin_ajax` w wersjach do 3.9.2 włącznie. Luka wynika z braku odpowiednich kontroli uprawnień i niewystarczającej sanitacji danych wejściowych, co pozwala atakującym na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z poziomem dostępu co najmniej Subskrybenta mogą zmieniać ustawienia wtyczki i wstrzykiwać złośliwe skrypty, które wykonują się podczas przeglądania strony ustawień przez administratorów lub przy odwiedzinach frontendu przez użytkowników. Może to prowadzić do przejęcia kontroli nad witryną, kradzieży danych lub dalszych ataków na użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz przeglądnąć uprawnienia użytkowników. Priorytetem jest szybkie załatanie luki lub zastosowanie środków ograniczających ekspozycję.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference