CVE-2024-10268: podatność XSS w wtyczce Sonaar MP3 Audio Player dla WordPress

Co wiadomo

Wtyczka MP3 Audio Player – Music Player, Podcast Player & Radio firmy Sonaar dla WordPress zawiera podatność typu Stored Cross-Site Scripting (XSS) w shortcode sonaar_audioplayer we wszystkich wersjach do 5.8 włącznie. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie i wykonanie złośliwych skryptów w kontekście strony, co może prowadzić do przejęcia sesji użytkowników, deface’u strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa serwisu. Operatorzy stron WordPress korzystający z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Sonaar MP3 Audio Player i jej instalację, jeśli została wydana poprawka. W przypadku braku aktualizacji należy ograniczyć uprawnienia użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Dodatkowo warto przeprowadzić audyt bezpieczeństwa i weryfikację wprowadzanych treści przez użytkowników z uprawnieniami współtwórcy i wyższymi.

Źródła

• NVD
• Reference
• Reference
• Reference