Analityczne wykorzystywanie plików cookies
CVE-2024-11898: podatność Stored Cross-Site Scripting w wtyczce Scratch & Win dla WordPress
Wtyczka Scratch & Win do WordPress ma podatność Stored XSS umożliwiającą ataki przez shortcode 'swin-campaign'. Sprawdź aktualizacje i zabezpiecz system.
- CVSS
- 6.4 MEDIUM
- EPSS
- 21.05%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- scratch \& win
Co wiadomo
Wtyczka Scratch & Win – Giveaways and Contests dla WordPress do wersji 2.6.9 jest podatna na Stored Cross-Site Scripting (XSS) poprzez shortcode 'swin-campaign' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin strony przez użytkowników.
Wpływ biznesowy
Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. W środowiskach WordPress z wieloma użytkownikami i aktywną interakcją ta luka może zwiększyć ryzyko naruszeń bezpieczeństwa i utraty zaufania klientów.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Scratch & Win u jej dostawcy oraz ich wdrożenie. W międzyczasie ogranicz uprawnienia użytkowników do minimum niezbędnego do pracy oraz monitoruj logi pod kątem podejrzanych działań. Przeanalizuj strony korzystające z shortcode 'swin-campaign' pod kątem nieautoryzowanych skryptów i rozważ tymczasowe wyłączenie funkcji, jeśli to możliwe.