CVE-2024-11108: podatność Stored XSS w wtyczce Serious Slider dla WordPress

Co wiadomo

Wtyczka Serious Slider dla WordPress w wersjach przed 1.2.7 nieprawidłowo waliduje i nie oczyszcza niektórych atrybutów shortcode przed ich wyświetleniem, co umożliwia użytkownikom z rolą współpracownika i wyższą przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS).

Wpływ biznesowy

Atakujący z uprawnieniami współpracownika lub wyższymi mogą wstrzykiwać złośliwy kod JavaScript, który zostanie zapisany i wykonany w przeglądarkach innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub dalszych ataków na infrastrukturę IT. Zagrożenie to wymaga uwagi szczególnie w środowiskach z wieloma użytkownikami o różnym poziomie uprawnień.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki Serious Slider do wersji 1.2.7 lub nowszej, jeśli jest dostępna. W przypadku braku możliwości aktualizacji, ogranicz uprawnienia użytkowników do minimum oraz monitoruj logi pod kątem podejrzanych działań. Przeanalizuj i zweryfikuj wszystkie shortcode używane na stronie pod kątem potencjalnych podatności.

Źródła

• NVD
• Reference