Analityczne wykorzystywanie plików cookies
CVE-2024-11749: Wrażliwość Stored XSS w wtyczce App Embed dla WordPress
Wtyczka App Embed do WordPress do 2.3.2 ma lukę Stored XSS umożliwiającą ataki przez shortcode 'appizy'. Zalecana aktualizacja i monitoring.
- CVSS
- 6.4 MEDIUM
- EPSS
- 16.97%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka App Embed dla WordPress do wersji 2.3.2 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'appizy'. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych w atrybutach użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.
Wpływ biznesowy
Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron WordPress powinni zwrócić uwagę na tę lukę, aby zapobiec potencjalnym incydentom bezpieczeństwa.
Rekomendowane działania administratora
Zaleca się jak najszybszą aktualizację wtyczki App Embed do wersji nowszej niż 2.3.2, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem wstrzykniętych skryptów oraz stosować mechanizmy zabezpieczające przed XSS.