CVE-2024-11766: WordPress Book Plugin podatny na Stored XSS

Co wiadomo

Wtyczka WordPress Book Plugin do wyświetlania książek w różnych układach jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'gs_book_showcase' we wszystkich wersjach do 1.3.1 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala atakującym z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WordPress Book Plugin i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji shortcode 'gs_book_showcase'. Regularna weryfikacja i audyt wtyczek oraz stosowanie zasad najmniejszych uprawnień zwiększą bezpieczeństwo środowiska.

Źródła

• NVD
• Reference
• Reference
• Reference