CVE-2024-10374: Luka w wtyczce WP-Members umożliwiająca Stored XSS

Co wiadomo

Wtyczka WP-Members dla WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode wpmem_loginout w wersjach do 3.4.9.5 włącznie. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych przekazywanych przez użytkownika, co pozwala atakującym z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność może umożliwić atakującym z dostępem na poziomie współtwórcy lub wyższym wstrzyknięcie i wykonanie złośliwych skryptów w kontekście strony, co może prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację serwisu oraz bezpieczeństwo danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP-Members u dostawcy i ich wdrożenie. W międzyczasie ogranicz dostęp użytkowników do poziomu współtwórcy i wyższego oraz monitoruj logi pod kątem podejrzanej aktywności. Przeanalizuj strony korzystające z shortcode wpmem_loginout pod kątem obecności nieautoryzowanych skryptów i rozważ zastosowanie dodatkowych mechanizmów filtrowania i escapingu danych wejściowych.

Źródła

• NVD
• Reference
• Reference
• Reference