CVE-2024-11764: Stored XSS w wtyczce Solar Wizard Lite dla WordPress

Co wiadomo

Wtyczka Solar Wizard Lite dla WordPress do wersji 1.2.4 zawiera podatność typu Stored Cross-Site Scripting (XSS) w shortcode 'solar_wizard' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta pozwala na wykonywanie złośliwych skryptów w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Administratorzy stron WordPress korzystających z tej wtyczki powinni potraktować tę lukę jako istotne zagrożenie dla bezpieczeństwa witryny i danych użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie wersji wtyczki Solar Wizard Lite i aktualizację do najnowszej dostępnej wersji po wydaniu poprawki przez producenta. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo, warto rozważyć zastosowanie mechanizmów zabezpieczających przed XSS, takich jak wtyczki bezpieczeństwa WordPress lub Web Application Firewall.

Źródła

• NVD
• Reference
• Reference