CVE-2024-11788: Luka XSS w wtyczce StreamWeasels YouTube Integration dla WordPress

Co wiadomo

Wtyczka StreamWeasels YouTube Integration dla WordPress do wersji 1.3.6 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode 'sw-youtube-embed'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z poziomem dostępu współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas przeglądania zainfekowanych stron przez użytkowników. Może to prowadzić do kradzieży danych sesji, manipulacji treścią strony lub dalszych ataków na użytkowników i infrastrukturę IT. Zagrożenie to wymaga uwagi administratorów stron opartych na WordPress z zainstalowaną tą wtyczką.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki StreamWeasels YouTube Integration i jej aktualizację do wersji po usunięciu luki. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode 'sw-youtube-embed'.

Źródła

• NVD
• Reference
• Reference
• Reference