Analityczne wykorzystywanie plików cookies
CVE-2024-10000: podatność Stored Cross-Site Scripting w Masteriyo LMS
Masteriyo LMS do WordPress ma podatność Stored XSS w wersjach do 1.13.3. Sprawdź zalecenia bezpieczeństwa i aktualizacje wtyczki.
- CVSS
- 6.4 MEDIUM
- EPSS
- 17.33%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- masteriyo
Co wiadomo
Wtyczka Masteriyo LMS dla WordPress do tworzenia kursów online jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr zawartości pytania we wszystkich wersjach do 1.13.3 włącznie. Atakujący z uprawnieniami co najmniej studenta mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas przeglądania zainfekowanych stron.
Wpływ biznesowy
Podatność umożliwia uwierzytelnionym użytkownikom z poziomem studenta lub wyższym wstrzykiwanie i wykonywanie złośliwych skryptów w kontekście przeglądarki innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji danymi lub dalszych ataków na użytkowników i infrastrukturę. Organizacje korzystające z Masteriyo LMS powinny traktować tę lukę jako istotne ryzyko dla bezpieczeństwa platformy edukacyjnej.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Masteriyo LMS i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu studenta i wyższego oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo warto przeprowadzić przegląd i oczyszczenie istniejących treści kursów pod kątem potencjalnych wstrzyknięć skryptów oraz stosować zasady minimalizacji uprawnień.