CVE-2024-11786: Stored Cross-Site Scripting w wtyczce Login with Vipps and MobilePay dla WordPress

Co wiadomo

Wtyczka Login with Vipps and MobilePay dla WordPress do wersji 1.3.3 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w shortcode 'continue-with-vipps'. Luka wynika z niewystarczającej sanitacji i escapowania danych wejściowych, co pozwala atakującym z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanych stron, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy. Właściciele stron WordPress powinni traktować tę lukę poważnie, zwłaszcza jeśli korzystają z tej wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Login with Vipps and MobilePay i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie shortcode 'continue-with-vipps' lub całej wtyczki, aby zminimalizować ryzyko wykorzystania luki.

Źródła

• NVD
• Reference
• Reference
• Reference