Analityczne wykorzystywanie plików cookies
CVE-2024-0792: podatność Stored Cross-Site Scripting w wtyczce Shortcodes Ultimate dla WordPress
Podatność Stored XSS w wtyczce Shortcodes Ultimate do WordPress umożliwia atakującym wstrzyknięcie skryptów. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 36.2%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- shortcodes ultimate
Co wiadomo
Wtyczka Shortcodes Ultimate dla WordPress do wersji 7.0.1 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez niewystarczającą sanitację i escapowanie danych w treści kanału RSS. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej na poziomie współautora wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających strony z wstrzykniętymi skryptami, co może skutkować kradzieżą danych sesji, przejęciem kont użytkowników lub innymi atakami typu phishing. Operatorzy stron opartych na WordPress z zainstalowaną tą wtyczką powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa i integralności witryny oraz danych użytkowników.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Shortcodes Ultimate u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji generujących kanały RSS, jeśli to możliwe. Priorytetowo należy ocenić ryzyko i wdrożyć odpowiednie środki zapobiegawcze.