Analityczne wykorzystywanie plików cookies
CVE-2024-0380: Luka Directory Traversal w wtyczce WP Recipe Maker
WP Recipe Maker do wersji 9.1.0 ma lukę Directory Traversal umożliwiającą ataki XSS przez atrybut 'icon' w shortcode'ach. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 5.4 MEDIUM
- EPSS
- 53.15%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wp recipe maker
Co wiadomo
Wtyczka WP Recipe Maker dla WordPressa do wersji 9.1.0 włącznie jest podatna na atak Directory Traversal poprzez atrybut 'icon' w shortcode'ach. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej na poziomie współtwórcy wczytanie zawartości plików SVG z serwera, co może prowadzić do ataku Cross-Site Scripting (XSS).
Wpływ biznesowy
Podatność ta pozwala na potencjalne wykonanie złośliwego kodu w przeglądarce użytkownika, co może skutkować kradzieżą sesji lub innymi atakami XSS. Organizacje korzystające z WP Recipe Maker powinny rozważyć ryzyko związane z dostępem użytkowników do panelu WordPress oraz możliwe konsekwencje dla bezpieczeństwa witryny i danych użytkowników.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Recipe Maker u dostawcy oraz jej instalację. W międzyczasie ogranicz dostęp do panelu WordPress tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Warto również przeprowadzić przegląd uprawnień użytkowników i ograniczyć możliwość dodawania shortcode'ów przez mniej zaufane role.