CVE-2024-11784: Stored XSS w wtyczce Sell Tickets Online – TicketSource dla WordPress

Co wiadomo

Wtyczka Sell Tickets Online – TicketSource Ticket Shop dla WordPress do wersji 3.0.2 zawiera lukę typu Stored Cross-Site Scripting (XSS) w shortcode 'ticketshop'. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie najnowszej wersji. W międzyczasie ogranicz dostęp użytkowników do poziomu współtwórcy i wyższego oraz monitoruj logi pod kątem podejrzanych działań. Warto również przeprowadzić audyt stron korzystających z shortcode 'ticketshop' pod kątem obecności złośliwych skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference