Analityczne wykorzystywanie plików cookies
Luka XSS w wtyczce Ragic Shortcode dla WordPress (CVE-2024-11431)
Wtyczka Ragic Shortcode do WordPress ma lukę XSS umożliwiającą ataki przez użytkowników z uprawnieniami współtwórcy i wyżej. Zalecane aktualizacje i ograniczenia uprawnień.
- CVSS
- 6.4 MEDIUM
- EPSS
- 33.43%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Ragic Shortcode dla WordPress do wersji 1.2 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode 'ragic'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych przekazywanych jako atrybuty shortcode, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.
Wpływ biznesowy
Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań naruszających bezpieczeństwo i integralność witryny WordPress, wpływając negatywnie na reputację i zaufanie użytkowników.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Ragic Shortcode i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, szczególnie poziom współtwórcy i wyżej. Dodatkowo warto przejrzeć logi serwera pod kątem podejrzanych działań oraz monitorować witrynę pod kątem nietypowego zachowania. Priorytetowo traktować wdrożenie poprawek i zabezpieczeń zapobiegających XSS.