CVE-2024-12073: podatność Stored XSS w wtyczce Meteor Slides dla WordPress

Co wiadomo

Wtyczka Meteor Slides dla WordPress do wersji 1.5.7 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w parametrze 'slide_url_value', wynikającą z niewystarczającej sanitacji danych wejściowych i braków w escapowaniu wyjścia. Umożliwia to atakującym z uprawnieniami co najmniej na poziomie Współpracownika wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta stanowi ryzyko dla właścicieli stron opartych na WordPress z zainstalowaną wtyczką Meteor Slides, gdyż atakujący mogą przeprowadzić ataki XSS, prowadzące do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji serwisu. Może to skutkować utratą zaufania klientów oraz koniecznością kosztownych działań naprawczych.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki Meteor Slides i zaktualizować ją do najnowszej dostępnej wersji po wydaniu poprawki przez dostawcę. W międzyczasie zaleca się ograniczenie uprawnień użytkowników do minimum niezbędnego oraz monitorowanie logów pod kątem podejrzanych aktywności związanych z parametrem 'slide_url_value'.

Źródła

• NVD
• Reference
• Reference