Luka XSS w wtyczce Spotlightr dla WordPress (CVE-2024-11411)

Co wiadomo

Wtyczka Spotlightr dla WordPress do wersji 0.1.11 włącznie jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez shortcode 'spotlightr-v'. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań naruszających bezpieczeństwo i integralność witryny WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Spotlightr i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przejrzeć logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularne monitorowanie i stosowanie zasad bezpieczeństwa WordPress jest kluczowe.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference