CVE-2024-11199: podatność Stored XSS w wtyczce Rescue Shortcodes dla WordPress

Co wiadomo

Wtyczka Rescue Shortcodes dla WordPress do wersji 2.9 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) w shortcode rescue_progressbar, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, deface'u strony lub innych ataków na użytkowników odwiedzających zainfekowane strony. Może to obniżyć zaufanie do serwisu i narazić na straty reputacyjne oraz potencjalne naruszenia danych.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki Rescue Shortcodes i zastosować ją, jeśli jest dostępna. W przypadku braku łatki zaleca się ograniczenie uprawnień użytkowników do minimum, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie stron generujących shortcode rescue_progressbar. Warto również rozważyć tymczasowe wyłączenie tej funkcjonalności do czasu wdrożenia poprawki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference