CVE-2024-11901: Stored XSS w wtyczce PowerBI Embed Reports dla WordPress

Co wiadomo

Wtyczka PowerBI Embed Reports dla WordPress do wersji 1.1.7 włącznie jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez shortcode 'MO_API_POWER_BI'. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach WordPress wykorzystujących tę wtyczkę istnieje ryzyko naruszenia integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki PowerBI Embed Reports i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum niezbędnego oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo warto przeprowadzić audyt stron korzystających z shortcode 'MO_API_POWER_BI' w celu wykrycia potencjalnych wstrzyknięć skryptów.

Źródła

• NVD
• Reference
• Reference
• Reference