CVE-2024-11332: Stored XSS w wtyczce HIPAA Compliant Forms dla WordPress

Co wiadomo

Wtyczka HIPAA Compliant Forms with Drag’n’Drop HIPAA Form Builder dla WordPress do wersji 1.3.4 zawiera podatność na przechowywany Cross-Site Scripting (XSS) w shortcode 'hipaatizer'. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej współautora wstrzyknięcie złośliwych skryptów, które wykonują się podczas przeglądania zainfekowanych stron.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających strony z wstrzykniętym skryptem, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący z uprawnieniami współautora mogą wykorzystać lukę do eskalacji ataku, wpływając na reputację i stabilność usług opartych na WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp do funkcji edycji dla użytkowników o niskich uprawnieniach, przeprowadź przegląd logów pod kątem podejrzanych działań oraz monitoruj strony pod kątem nieautoryzowanych zmian. Priorytetyzuj działania zabezpieczające zgodnie z ryzykiem biznesowym.

Źródła

• NVD
• Reference
• Reference