CVE-2024-10583: Luka XSS w wtyczce Popup Maker dla WordPress

Co wiadomo

Wtyczka Popup Maker do WordPressa jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez parametr 'post_title' w wersjach do 1.20.2 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki znaków, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie Współpracownika.

Wpływ biznesowy

Atakujący z dostępem na poziomie Współpracownika lub wyższym mogą wstrzykiwać złośliwe skrypty, które będą wykonywane podczas odwiedzania zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Popup Maker i ich wdrożenie. W przypadku braku natychmiastowej poprawki, ogranicz dostęp do funkcji edycji dla użytkowników o niższych uprawnieniach, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń na poziomie aplikacji.

Źródła

• NVD
• Reference
• Reference