CVE-2024-11899: Luka XSS w wtyczce Slider Pro Lite dla WordPress

Co wiadomo

Wtyczka Slider Pro Lite dla WordPress do wersji 1.4.1 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode 'sliderpro'. Luka wynika z niewystarczającej sanitacji i eskapowania danych wejściowych w atrybutach użytkownika, co pozwala atakującym z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla witryny i jej użytkowników. Właściciele stron powinni zwrócić uwagę na potencjalne ryzyko naruszenia bezpieczeństwa i reputacji.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Slider Pro Lite i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Dodatkowo warto przeprowadzić audyt bezpieczeństwa i edukować użytkowników o ryzyku XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference