CVE-2024-11747: Stored XSS w wtyczce Responsive Videos dla WordPress

Co wiadomo

Wtyczka Responsive Videos dla WordPress do wersji 2.1 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode 'somryv'. Atakujący z uprawnieniami co najmniej współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem na poziomie współpracownika lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. W środowiskach WordPress z wieloma użytkownikami ryzyko eskalacji ataku jest istotne.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Responsive Videos i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników, zweryfikować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode 'somryv'. Regularnie monitoruj środowisko i stosuj zasady minimalnych uprawnień.

Źródła

• NVD
• Reference
• Reference
• Reference