CVE-2024-10885: podatność Stored XSS w wtyczce SearchIQ dla WordPress

Co wiadomo

Wtyczka SearchIQ – The Search Solution dla WordPress do wersji 4.6 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode 'siq_searchbox'. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki bez aktualizacji zwiększa ryzyko naruszenia bezpieczeństwa witryny WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki SearchIQ i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie shortcode 'siq_searchbox' do czasu usunięcia podatności. Regularne przeglądy i testy bezpieczeństwa wtyczek WordPress są kluczowe dla ochrony środowiska.

Źródła

• NVD
• Reference
• Reference
• Reference