Уразливість Stored XSS у темі WordPress Blocksy (CVE-2024-11420)

Що відомо

Тема Blocksy для WordPress містить уразливість збереженого міжсайтового скриптингу (Stored XSS) через параметр посилання Contact Info Block у версіях до 2.0.77 включно. Атакувальники з рівнем доступу Contributor і вище можуть впроваджувати довільні скрипти, які виконуватимуться при перегляді зараженої сторінки.

Бізнес-вплив

Ця уразливість дозволяє автентифікованим користувачам із правами Contributor і вище впроваджувати шкідливі скрипти, що може призвести до компрометації сесій, викрадення даних або поширення шкідливого коду серед користувачів сайту. Власникам сайтів на WordPress з темою Blocksy слід розглянути ризики для безпеки та довіри користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень теми Blocksy від розробника creativethemes і застосувати їх, якщо доступні. Якщо оновлення відсутні, слід обмежити права користувачів до мінімально необхідних, провести аудит логів на предмет підозрілої активності та впровадити заходи з фільтрації введення. Також варто розглянути тимчасове обмеження використання Contact Info Block до усунення уразливості.

Джерела

• NVD
• Reference
• Reference