Analityczne wykorzystywanie plików cookies
Luka XSS w wtyczce Steel dla WordPress (CVE-2024-10147)
Podatność XSS w wtyczce Steel WordPress do 1.3.0 umożliwia ataki przez shortcode btn. Zalecane aktualizacje i ograniczenie uprawnień.
- CVSS
- 6.4 MEDIUM
- EPSS
- 25.7%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Steel dla WordPress do wersji 1.3.0 włącznie zawiera podatność na przechowywany Cross-Site Scripting (XSS) poprzez shortcode btn, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej współautora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność umożliwia uwierzytelnionym użytkownikom z poziomem współautora lub wyższym wstrzykiwanie złośliwych skryptów, co może prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla użytkowników i reputacji firmy. W środowiskach CMS opartych na WordPress, gdzie wtyczka Steel jest używana, istnieje ryzyko naruszenia integralności i bezpieczeństwa treści oraz danych.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Steel i jej instalację, jeśli jest dostępna. W przypadku braku łatki, ogranicz uprawnienia użytkowników do niezbędnego minimum, monitoruj logi pod kątem podejrzanych działań oraz rozważ tymczasowe wyłączenie wtyczki. Przeanalizuj strony pod kątem obecności złośliwych skryptów i wprowadź dodatkowe mechanizmy walidacji i escapingu danych wejściowych.