„`html
Zusammenfassung
Das WordPress-Plugin „Cozy Blocks – Page Builder for Gutenberg Editor & FSE“ ist in allen Versionen bis einschließlich 2.2.11 anfällig für eine Stored Cross-Site Scripting (XSS) Schwachstelle. Die Vulnerability ermöglicht es Benutzern mit Contributor-Level-Berechtigung oder höher, beliebigen JavaScript-Code in Seiten einzuschleusen, der bei jedem Besuch der betroffenen Seite ausgeführt wird.
Betroffene Systeme
Betroffen sind folgende Komponenten:
- Cozy Blocks Plugin für WordPress
- Alle Versionen bis 2.2.11
- Gutenberg Editor und Full Site Editing (FSE) Installationen
- WordPress-Installationen mit aktiviertem Plugin
Technische Details
Die Schwachstelle liegt in der unzureichenden Validierung und Ausgabe-Escaping des Block-Attributs ‚icon.view‘. Authentifizierte Angreifer können über das Backend beliebigen JavaScript-Code in die Block-Konfiguration einfügen. Der Code wird nicht ausreichend sanitized und bleibt persistent in der Datenbank gespeichert (Stored XSS).
Das Angriffsvektor ist „Network“, was bedeutet, dass die Exploitation über das Internet möglich ist. Allerdings erfordert es mindestens Contributor-Zugriff, was die Angriffsfläche eingrenzt. Potenzielle Angreifer können:
- Session-Cookies von Administratoren stehlen
- Malware oder Tracking-Code injizieren
- Website-Inhalte manipulieren
- Weitere Schwachstellen ausnutzen
Empfohlene Massnahmen
Sofortmassnahmen:
- Plugin unverzüglich deaktivieren oder deinstallieren
- Alternative Page-Builder evaluieren
- Zugriffskontrolle auf Contributor-Rollen überprüfen
- Seiten-Inhalte auf verdächtige Skripte überprüfen
Längerfristige Lösungen:
- Auf eine patched Version warten und regelmäßig aktualisieren
- Web Application Firewall (WAF) implementieren
- Content Security Policy (CSP) Header setzen
Bewertung
Mit einem CVSS-Wert von 6.4 wird diese Vulnerability als Medium-Severity eingestuft. Trotz fehlender Patches ist das Risiko managebar durch Plugin-Deaktivierung und strikte Zugriffskontrolle. Websites mit mehreren Contributor-Benutzern sollten prioritär handeln.
„`