CVE-2024-11763: Stored XSS w wtyczce Plezi dla WordPress

Co wiadomo

Wtyczka Plezi dla WordPress do wersji 1.0.6 zawiera lukę typu Stored Cross-Site Scripting (XSS) w shortcode 'plezi', wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka pozwala na eskalację ataków XSS, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Administratorzy stron WordPress korzystających z tej wtyczki powinni traktować tę podatność jako istotne zagrożenie dla bezpieczeństwa aplikacji i danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Plezi i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode 'plezi'. Regularnie przeglądaj i aktualizuj wtyczki, aby minimalizować ryzyko.

Źródła

• NVD
• Reference
• Reference
• Reference