CVE-2024-6346: Уразливість Stored XSS у плагіні ComboBlocks для WordPress

Що відомо

Плагін Gutenberg Blocks, Page Builder – ComboBlocks для WordPress має уразливість Stored Cross-Site Scripting через параметр redirectURL віджета Date Countdown у версіях до 2.2.85 включно. Це дозволяє автентифікованим користувачам з рівнем доступу не нижче контриб’ютора впроваджувати шкідливі скрипти, які виконуються при перегляді сторінок.

Бізнес-вплив

Уразливість може призвести до виконання довільних скриптів у браузерах користувачів сайту, що загрожує компрометацією сесій, викраденням даних або поширенням шкідливого коду. Власники сайтів на WordPress, які використовують цей плагін, ризикують порушенням безпеки та довіри користувачів. Своєчасне усунення вразливості є критичним для захисту веб-ресурсів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна ComboBlocks від розробника та встановити їх при наявності. Якщо оновлення недоступні, слід обмежити доступ користувачів до рівня нижче контриб’ютора, провести аудит журналів на предмет підозрілої активності та мінімізувати використання вразливих віджетів. Загалом, варто регулярно моніторити безпекові оновлення та впроваджувати заходи зменшення ризиків.

Джерела

• NVD
• Reference
• Reference
• Reference