CVE-2024-0587: podatność Reflected Cross-Site Scripting w wtyczce AMP for WP

Co wiadomo

Wtyczka AMP for WP – Accelerated Mobile Pages dla WordPressa jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr 'disqus_name' w wersjach do 1.0.92.1 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego zabezpieczenia wyjścia w wykonywanym pliku JS, co umożliwia wstrzyknięcie złośliwych skryptów przez nieautoryzowanych atakujących.

Wpływ biznesowy

Atakujący mogą wykorzystać tę podatność do wstrzyknięcia i wykonania złośliwego kodu JavaScript w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron korzystających z tej wtyczki powinni rozważyć ryzyko związane z potencjalnym narażeniem użytkowników na ataki XSS.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki AMP for WP i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć ekspozycję podatnego parametru, monitorować logi pod kątem podejrzanej aktywności oraz edukować użytkowników w zakresie unikania podejrzanych linków. Priorytetowo traktuj przegląd i aktualizację komponentów CMS, aby minimalizować ryzyko.

Źródła

• NVD
• Reference
• Reference