CVE-2024-11893: Wrażliwość Stored XSS w wtyczce Spoki dla WordPress

Co wiadomo

Wtyczka Spoki – Chat Buttons and WooCommerce Notifications dla WordPress do wersji 2.15.15 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'spoki_button'. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się dla każdego użytkownika odwiedzającego zainfekowaną stronę. Może to prowadzić do kradzieży danych sesji, manipulacji treścią strony lub innych działań naruszających bezpieczeństwo i zaufanie użytkowników. Właściciele stron powinni traktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Spoki i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, szczególnie dla ról z możliwością korzystania ze shortcode 'spoki_button'. Dodatkowo warto przeprowadzić przegląd logów pod kątem podejrzanych działań oraz monitorować witrynę pod kątem nietypowego zachowania.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference