CVE-2024-0378: podatność Stored Cross-Site Scripting w wtyczce AI Engine dla WordPress

Co wiadomo

Wtyczka AI Engine dla WordPress, używana do chatbotów i generatorów, jest podatna na atak Stored Cross-Site Scripting (XSS) w wersjach do 2.2.0 włącznie, gdy włączone jest śledzenie dyskusji. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki danych wyjściowych, co pozwala na wstrzyknięcie złośliwych skryptów przez nieautoryzowanych atakujących.

Wpływ biznesowy

Podatność umożliwia atakującym wstrzyknięcie i wykonanie złośliwych skryptów w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, przejęcia konta lub innych działań naruszających bezpieczeństwo. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę poważnie, zwłaszcza jeśli śledzenie dyskusji jest aktywne, gdyż może to wpłynąć na reputację i bezpieczeństwo użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki AI Engine do najnowszej wersji udostępnionej przez dostawcę, która eliminuje tę podatność. W przypadku braku dostępnej aktualizacji należy rozważyć wyłączenie funkcji śledzenia dyskusji oraz ograniczyć dostęp do panelu administracyjnego. Dodatkowo warto monitorować logi serwera pod kątem podejrzanych aktywności i stosować ogólne zasady bezpieczeństwa CMS.

Źródła

• NVD
• Reference
• Reference