Analityczne wykorzystywanie plików cookies
CVE-2024-10848: Stored Cross-Site Scripting w motywie NewsMunch dla WordPress
Podatność Stored XSS w motywie NewsMunch WordPress do 1.0.35 umożliwia ataki przez złośliwe nazwy wyświetlane. Sprawdź aktualizacje i zabezpiecz stronę.
- CVSS
- 6.4 MEDIUM
- EPSS
- 16.97%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Motyw NewsMunch dla WordPress do wersji 1.0.35 włącznie jest podatny na atak Stored Cross-Site Scripting (XSS) poprzez złośliwą nazwę wyświetlaną. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki danych wyjściowych, co pozwala użytkownikom z uprawnieniami co najmniej na poziomie Współpracownika na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z dostępem na poziomie Współpracownika lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tego motywu bez aktualizacji zwiększa ryzyko naruszenia bezpieczeństwa witryny WordPress.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji motywu NewsMunch i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie motywu. Regularna weryfikacja i audyt bezpieczeństwa WordPressa jest kluczowa dla minimalizacji ryzyka.