CVE-2024-1051: Wrażliwość Stored XSS w wtyczce List category posts dla WordPress

Co wiadomo

Wtyczka List category posts dla WordPress do wersji 0.89.6 zawiera lukę Stored Cross-Site Scripting (XSS) w shortcode 'catlist', wynikającą z niewystarczającej sanitacji i escapingu atrybutów użytkownika, takich jak 'title_tag'. Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie i wykonanie złośliwego kodu JavaScript w kontekście witryny, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. Zagrożenie to wpływa na bezpieczeństwo witryn WordPress korzystających z tej wtyczki, szczególnie w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.

Rekomendowane działania administratora

Administratorzy powinni zweryfikować wersję wtyczki List category posts i jak najszybciej zaktualizować ją do najnowszej dostępnej wersji, w której luka została załatana. W przypadku braku aktualizacji zaleca się ograniczenie uprawnień użytkowników, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie i filtrowanie danych wejściowych. Warto również rozważyć tymczasowe wyłączenie shortcode 'catlist' do czasu wdrożenia poprawki.

Źródła

• NVD
• Reference
• Reference
• Reference