CVE-2024-11910: podatność Stored Cross-Site Scripting w wtyczce WP Crowdfunding

Co wiadomo

Wtyczka WP Crowdfunding dla WordPress do wersji 2.1.15 włącznie zawiera podatność Stored Cross-Site Scripting w bloku wp-crowdfunding/search, wynikającą z niewystarczającej sanitacji danych wejściowych i ucieczki danych wyjściowych. Umożliwia to atakującym z uprawnieniami co najmniej Contributor wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący z dostępem Contributor mogą wykorzystać lukę do eskalacji ataków, wpływając na reputację i zaufanie użytkowników. Operatorzy powinni traktować tę lukę jako istotne ryzyko dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Crowdfunding u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń aplikacji webowej.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference