CVE-2024-11974: podatność Reflected XSS w wtyczce Media Library Assistant dla WordPress

Co wiadomo

Wtyczka Media Library Assistant dla WordPress do wersji 3.23 włącznie jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametry 'smc_settings_tab', 'unattachfixit-action' oraz 'woofixit-action'. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, co umożliwia nieautoryzowanym atakującym wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący mogą wykorzystać tę podatność do wykonania złośliwych skryptów w kontekście przeglądarki ofiary, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. Wpływa to na bezpieczeństwo witryn opartych na WordPress z zainstalowaną podatną wersją wtyczki, zwiększając ryzyko naruszenia danych i reputacji firmy.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Media Library Assistant u dostawcy oraz jej instalację, jeśli jest dostępna. W międzyczasie warto ograniczyć ekspozycję parametrów podatnych na atak, monitorować logi serwera pod kątem podejrzanych żądań oraz edukować użytkowników w zakresie unikania klikania podejrzanych linków. Priorytetowo traktuj aktualizacje i audyt bezpieczeństwa środowiska WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference