Analityczne wykorzystywanie plików cookies
CVE-2024-10055: podatność Cross-Site Scripting w wtyczce Click to Chat dla WordPress
Podatność XSS w wtyczce Click to Chat dla WordPress umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami współtwórcy i wyższymi.
- CVSS
- 6.4 MEDIUM
- EPSS
- 23.72%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- click to chat
Co wiadomo
Wtyczka Click to Chat – WP Support All-in-One Floating Widget do WordPressa jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode wpsaio_snapchat we wszystkich wersjach do 2.3.3 włącznie. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność umożliwia atakującym z dostępem na poziomie współtwórcy lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub manipulacji zawartością strony. Właściciele stron i operatorzy IT powinni traktować tę lukę poważnie, zwłaszcza w środowiskach z wieloma użytkownikami mającymi uprawnienia do edycji treści.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Click to Chat i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, przejrzeć logi pod kątem podejrzanych działań oraz monitorować strony pod kątem nieautoryzowanych zmian. Warto również rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.