CVE-2024-10874: Stored XSS w wtyczce Quotes llama dla WordPress

Co wiadomo

Wtyczka Quotes llama dla WordPress do wersji 3.0.0 zawiera podatność typu Stored Cross-Site Scripting (XSS) w shortcode 'quotes-llama', wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej współautora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z poziomem współautora lub wyższym wstrzyknięcie i wykonanie złośliwego kodu JavaScript w kontekście witryny, co może prowadzić do kradzieży sesji, manipulacji treścią lub dalszych ataków na użytkowników. Może to narazić infrastrukturę na utratę integralności danych i reputacji.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Quotes llama i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Przegląd i weryfikacja wprowadzanych danych przez użytkowników również jest wskazana.

Źródła

• NVD
• Reference
• Reference
• Reference