WP Crowdfunding: podatność Stored Cross-Site Scripting (CVE-2024-10117)

Co wiadomo

Wtyczka WP Crowdfunding dla WordPress do wersji 2.1.11 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) przez shortcode wpcf_donate. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, co może prowadzić do kradzieży danych sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie to wpływa na bezpieczeństwo witryn opartych na WordPress z zainstalowaną podatną wersją wtyczki, zwiększając ryzyko naruszenia danych i utraty zaufania klientów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Crowdfunding u dostawcy i jej wdrożenie. W międzyczasie ogranicz dostęp użytkowników do poziomu współtwórcy i wyższego, monitoruj logi pod kątem podejrzanych działań oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń aplikacji webowej.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference