Luka XSS w wtyczce Essential Blocks – Page Builder Gutenberg Blocks dla WordPress

Co wiadomo

Wtyczka Essential Blocks – Page Builder Gutenberg Blocks, Patterns & Templates dla WordPress do wersji 6.0.4 jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez atrybuty className, classHook i blockId w bloku Dodaj do koszyka. Luka wynika z niewystarczającego zabezpieczenia danych wyjściowych w funkcji render_callback().

Wpływ biznesowy

Atakujący z uprawnieniami na poziomie Współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które będą wykonywane podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Essential Blocks i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż Współtwórca, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie podatnego bloku. Priorytetowo traktuj aktualizacje i audyt bezpieczeństwa środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference