CVE-2024-11882: Wtyczka FAQ And Answers dla WordPress podatna na Stored XSS

Co wiadomo

Wtyczka FAQ And Answers – Create Frequently Asked Questions Area na WordPressie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'faq' we wszystkich wersjach do 1.1.0 włącznie. Luka wynika z niewystarczającej sanitizacji i escapingu danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas przeglądania zainfekowanych stron. Może to prowadzić do kradzieży danych sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie dotyczy właścicieli stron WordPress korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki FAQ And Answers i ich instalację. W przypadku braku łatki warto ograniczyć uprawnienia użytkowników do minimum, przeglądać logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Należy także monitorować oficjalne komunikaty producenta wtyczki.

Źródła

• NVD
• Reference
• Reference