CVE-2024-11945: Stored XSS w wtyczce Email Reminders dla WordPress

Co wiadomo

Wtyczka Email Reminders dla WordPress do wersji 2.0.4 zawiera lukę typu Stored Cross-Site Scripting (XSS) w parametrze 'id', umożliwiającą uwierzytelnionym użytkownikom z uprawnieniami co najmniej Contributor wstrzyknięcie złośliwych skryptów. Skrypty te wykonują się przy każdym dostępie do zainfekowanej strony.

Wpływ biznesowy

Atakujący z uprawnieniami Contributor lub wyższymi mogą wykorzystać tę lukę do wstrzyknięcia i wykonania złośliwego kodu JavaScript na stronach WordPress, co może prowadzić do kradzieży sesji, manipulacji treścią lub dalszego rozprzestrzeniania ataku. Zagrożenie dotyczy właścicieli stron korzystających z tej wtyczki, zwłaszcza jeśli mają wielu użytkowników z możliwością dodawania treści.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Email Reminders i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Regularne przeglądy i audyty bezpieczeństwa pomogą ograniczyć ryzyko wykorzystania tej luki.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference