CVE-2024-10015: Stored XSS w wtyczce ConvertCalculator dla WordPress

Co wiadomo

Wtyczka ConvertCalculator dla WordPress do wersji 1.1.1 jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez parametry 'id' i 'type'. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem do panelu WordPress na wstrzyknięcie i wykonanie złośliwych skryptów w kontekście przeglądarki użytkownika. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub dalszych ataków na użytkowników i administratorów. Zagrożenie dotyczy właścicieli stron korzystających z tej wtyczki, którzy powinni pilnie zweryfikować swoje środowisko.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki ConvertCalculator i jej instalację. Jeśli aktualizacja nie jest dostępna, ogranicz dostęp do panelu WordPress tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Warto również przeprowadzić audyt uprawnień użytkowników i rozważyć tymczasowe wyłączenie wtyczki do czasu usunięcia podatności.

Źródła

• NVD
• Reference
• Reference
• Reference