Kredeum NFTs WordPress Plugin podatny na Stored Cross-Site Scripting (CVE-2024-11876)

Co wiadomo

Wtyczka Kredeum NFTs dla WordPressa, umożliwiająca sprzedaż NFT bezpośrednio na stronie, jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'kredeum_opensky' w wersjach do 1.6.9 włącznie. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych przekazywanych przez użytkownika.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współpracownika mogą wstrzykiwać złośliwe skrypty, które będą wykonywane przy każdym odwiedzeniu zainfekowanej strony. Może to prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny oraz jej użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji shortcode 'kredeum_opensky', jeśli to możliwe.

Źródła

• NVD
• Reference
• Reference