CVE-2024-10825: podatność Reflected Cross-Site Scripting w wtyczce Hide My WP Ghost

Co wiadomo

Wtyczka Hide My WP Ghost – Security & Firewall dla WordPressa jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez URL we wszystkich wersjach do 5.3.01 włącznie, z powodu niewystarczającej sanitizacji i ucieczki danych wejściowych. Atakujący może wstrzyknąć złośliwy skrypt, który wykona się, jeśli uda mu się nakłonić administratora do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność ta umożliwia nieautoryzowanym osobom wykonanie złośliwych skryptów w kontekście konta administratora WordPressa, co może prowadzić do przejęcia kontroli nad witryną, kradzieży danych lub eskalacji uprawnień. Operatorzy stron wykorzystujących tę wtyczkę powinni traktować tę lukę jako istotne ryzyko dla bezpieczeństwa swoich serwisów internetowych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Hide My WP Ghost u jej dostawcy i wdrożenie najnowszej wersji zawierającej poprawki. W międzyczasie warto ograniczyć ekspozycję serwisu, monitorować logi pod kątem podejrzanej aktywności oraz edukować administratorów w zakresie rozpoznawania podejrzanych linków i unikania ich klikania.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference