CVE-2024-11414: Stored Cross-Site Scripting w wtyczce RecipePress Reloaded dla WordPress

Co wiadomo

Wtyczka RecipePress Reloaded do WordPressa do wersji 2.12.0 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w polu składników przepisu, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej na poziomie Współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka ta może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub wykonania nieautoryzowanych działań w kontekście strony WordPress. Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wykorzystać ją do eskalacji ataku na użytkowników i administratorów witryny. Zagrożenie jest istotne dla właścicieli stron korzystających z tej wtyczki, zwłaszcza gdy dostęp do panelu mają liczni użytkownicy z różnymi poziomami uprawnień.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki RecipePress Reloaded i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie uprawnień użytkowników do niezbędnego minimum, szczególnie poziomu Contributor i wyżej. Dodatkowo warto przejrzeć logi pod kątem podejrzanych aktywności oraz monitorować witrynę pod kątem nietypowego zachowania.

Źródła

• NVD
• Reference
• Reference