CVE-2024-10057: podatność XSS w wtyczce RSS Feed Widget dla WordPress

Co wiadomo

Wtyczka RSS Feed Widget dla WordPress do wersji 2.9.9 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w shortcode rfw-youtube-videos. Pozwala to uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzania zainfekowanej strony.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, co może prowadzić do przejęcia sesji użytkowników, deface'u strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa firmy. Wykorzystanie tej luki może skutkować utratą zaufania klientów oraz koniecznością kosztownych działań naprawczych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki RSS Feed Widget u jej dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp do panelu WordPress użytkownikom z uprawnieniami współtwórcy i wyższymi, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i sanitizacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference
• Reference