Analityczne wykorzystywanie plików cookies
CVE-2024-12221: Reflected Cross-Site Scripting w wtyczce Turnkey bbPress dla WordPress
Luka XSS w wtyczce Turnkey bbPress do WordPress umożliwia ataki przez parametr '_wpnonce'. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.1 MEDIUM
- EPSS
- 27.65%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Turnkey bbPress firmy WeaverTheme dla WordPress do wersji 1.6.3 włącznie jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr '_wpnonce'. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, co umożliwia nieautoryzowanym atakującym wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący mogą wykorzystać tę lukę do wstrzyknięcia i wykonania złośliwych skryptów w przeglądarce użytkownika, co może prowadzić do kradzieży danych sesji, przejęcia konta lub innych działań szkodliwych dla użytkowników i właścicieli witryny. Zagrożenie to wpływa na bezpieczeństwo i reputację serwisu opartego na WordPress z zainstalowaną podatną wersją wtyczki.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Turnkey bbPress i jej instalację, jeśli jest dostępna. W przypadku braku łatki, ogranicz ekspozycję podatnego komponentu, monitoruj logi pod kątem podejrzanych aktywności oraz edukuj użytkowników, aby nie klikali w podejrzane linki. Priorytetyzuj działania naprawcze zgodnie z ryzykiem i wpływem na infrastrukturę.