CVE-2024-0382: podatność Stored XSS w wtyczce WP Recipe Maker

Co wiadomo

Wtyczka WP Recipe Maker dla WordPressa do wersji 9.1.0 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez nieograniczone użycie atrybutu 'header_tag' w shortcode'ach. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej na poziomie współpracownika wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do przejęcia sesji użytkowników, defraudacji danych lub innych działań szkodliwych wykonywanych w kontekście przeglądarki ofiary. Operatorzy stron wykorzystujących WP Recipe Maker powinni zwrócić szczególną uwagę na ograniczenie uprawnień użytkowników oraz monitorowanie aktywności, aby zapobiec nadużyciom. Atakujący mogą wykorzystać tę lukę do eskalacji zagrożeń w środowisku WordPressa.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Recipe Maker u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, szczególnie dla ról współpracownika i wyższych. Dodatkowo należy monitorować logi serwera i aplikacji pod kątem podejrzanych działań oraz rozważyć zastosowanie mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference