Luka XSS w wtyczce Outdooractive Embed dla WordPress (CVE-2024-11774)

Co wiadomo

Wtyczka Outdooractive Embed dla WordPress do wersji 1.5 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode 'list2go'. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa swoich serwisów WordPress.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Outdooractive Embed i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto rozważyć zastosowanie mechanizmów ochrony przed XSS oraz przeprowadzić przegląd i weryfikację wszystkich shortcode'ów wykorzystywanych na stronie.

Źródła

• NVD
• Reference
• Reference