CVE-2024-11502: podatność XSS w wtyczce Planning Center Online Giving dla WordPress

Co wiadomo

Wtyczka Planning Center Online Giving do WordPressa w wersji do 1.0.0 nieprawidłowo waliduje i nie zabezpiecza niektórych atrybutów shortcode przed wyświetleniem, co umożliwia użytkownikom z rolą współtwórcy i wyższą przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS).

Wpływ biznesowy

Ta luka może pozwolić użytkownikom z uprawnieniami współtwórcy na wstrzyknięcie złośliwego kodu JavaScript, który będzie wykonywany w przeglądarkach innych użytkowników odwiedzających stronę. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań naruszających bezpieczeństwo i integralność witryny. Zagrożenie jest średnie, ale wymaga uwagi ze względu na potencjalne szkody dla reputacji i bezpieczeństwa danych.

Rekomendowane działania administratora

Administratorzy powinni sprawdzić dostępność aktualizacji wtyczki Planning Center Online Giving i zastosować je niezwłocznie. W przypadku braku łatki zaleca się ograniczenie uprawnień użytkowników do minimum niezbędnego oraz monitorowanie logów pod kątem podejrzanej aktywności. Dodatkowo warto rozważyć zastosowanie mechanizmów zabezpieczających przed XSS, takich jak odpowiednie filtrowanie i kodowanie danych wejściowych oraz wyjściowych.

Źródła

• NVD
• Reference