CVE-2024-0508: Luka XSS w wtyczce Orbit Fox dla WordPress

Co wiadomo

Wtyczka Orbit Fox firmy ThemeIsle dla WordPress zawiera lukę typu Stored Cross-Site Scripting w widżecie Pricing Table Elementor we wszystkich wersjach do 2.10.27 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki znaków w adresach URL dostarczanych przez użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa swoich serwisów WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Orbit Fox u dostawcy ThemeIsle i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Regularne przeglądy i testy bezpieczeństwa pomogą w szybkim wykrywaniu i eliminowaniu podobnych zagrożeń.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference