„`html
Zusammenfassung
Das WordPress-Plugin „Recipe Card Blocks Lite“ weist eine Stored Cross-Site Scripting (XSS)-Schwachstelle auf, die es authentifizierten Benutzern mit Author-Berechtigungen ermöglicht, beliebige JavaScript-Code in Rezept-Blöcken einzuschleusen. Die Sicherheitslücke existiert in allen Versionen bis einschließlich 3.4.13 und wird durch eine fehlerhafte Deserialisierung von Unicode-Sequenzen nach der Sanitization verursacht.
Betroffene Systeme
Das Plugin „Recipe Card Blocks Lite für WordPress“ in den Versionen 0.x bis 3.4.13. Betroffene sind WordPress-Installationen, die dieses Plugin aktiv nutzen. Die Schwachstelle erfordert mindestens Author-Level-Zugriff oder höhere Berechtigungen (Editor, Administrator).
Technische Details
Die Anfälligkeit liegt in der Methode WPZOOM_Helpers::deserialize_block_attributes. Diese Funktion konvertiert Unicode-kodierte Sequenzen nach der Durchführung von Sanitizungsprozessen wieder zu HTML-Zeichen. Dadurch wird die Schutzwirkung der Sanitization umgangen. Angreifer können XSS-Payloads in die Attribute ’summary‘ und ’notes‘ des Rezept-Blocks einfügen. Der injizierte Code wird bei jedem Abruf der veröffentlichten Seite oder der Druckansicht des Rezepts ausgeführt.
Empfohlene Massnahmen
- Sofortig: Nutzerzugriffe mit Author-Berechtigung überprüfen und einschränken
- Monitoring: Audit-Logs auf verdächtige Änderungen an Rezept-Blöcken prüfen
- Update: Auf eine patched Version warten und diese zeitnah einspielen
- Alternativ: Plugin deaktivieren, wenn nicht essentiell notwendig
- Prävention: Content Security Policy (CSP) implementieren
Bewertung
CVSS-Score: 6.4 (Medium) – Die Schwachstelle erfordert authentifizierten Zugriff, was das Risiko reduziert. Dennoch stellt sie eine erhebliche Bedrohung dar, da Stored XSS persistent ist und mehrere Nutzer betreffen kann. Eine zeitnahe Behebung ist notwendig.
„`