CVE-2024-11436: Reflected XSS w wtyczce WordPress Drag & Drop Builder do wersji 1.4.19

Co wiadomo

Wtyczka WordPress Drag & Drop Builder, Human Face Detector, Pre-built Templates, Spam Protection, User Email Notifications i inne do wersji 1.4.19 zawiera lukę Reflected Cross-Site Scripting (XSS) w parametrze 'page' z powodu niewystarczającej sanitizacji i escapingu danych wejściowych. Atakujący może wprowadzić złośliwy skrypt, który wykona się po nakłonieniu użytkownika do kliknięcia w spreparowany link.

Wpływ biznesowy

Luka umożliwia nieautoryzowanym osobom wstrzyknięcie i wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i właścicieli serwisów. Operatorzy stron opartych na WordPress powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa użytkowników i reputacji serwisu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie najnowszej wersji zawierającej poprawkę. W międzyczasie warto ograniczyć ekspozycję podatnych parametrów, monitorować logi pod kątem podejrzanych żądań oraz edukować użytkowników o ryzyku klikania w nieznane linki. Priorytetem jest szybka weryfikacja i wdrożenie poprawek bezpieczeństwa.

Źródła

• NVD
• Reference
• Reference