Уразливість Stored XSS у плагіні Essential Blocks для WordPress

Що відомо

Плагін Essential Blocks – Page Builder Gutenberg Blocks, Patterns & Templates для WordPress має уразливість збереженого міжсайтового скриптингу (Stored XSS) через недостатнє екранування атрибутів className, classHook та blockId у блоці "Додати до кошика" у версіях до 6.0.4 включно. Зловмисники з рівнем доступу Contributor і вище можуть впроваджувати шкідливі скрипти, які виконуватимуться при перегляді сторінок.

Бізнес-вплив

Уразливість дозволяє аутентифікованим користувачам із правами Contributor і вище впроваджувати довготривалі шкідливі скрипти на сайтах WordPress, що може призвести до викрадення сесій, зміни контенту або інших атак на користувачів. Це створює ризики для безпеки веб-ресурсів та довіри користувачів, а також може вплинути на репутацію та функціональність сайту.

Рекомендовані дії адміністратора

Адміністраторам рекомендується перевірити наявність оновлень плагіна Essential Blocks і встановити їх, якщо вони доступні. Якщо оновлення відсутні, слід обмежити права користувачів до рівня нижче Contributor, ретельно перевіряти журнали активності на наявність підозрілих дій та мінімізувати вплив шляхом обмеження доступу до функцій редагування. Також рекомендується регулярно переглядати безпекові оновлення від розробника плагіна.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference