CVE-2024-12271: Stored XSS w wtyczce 360 Javascript Viewer dla WordPress

Co wiadomo

Wtyczka 360 Javascript Viewer dla WordPress do wersji 1.7.29 jest podatna na atak Stored Cross-Site Scripting poprzez parametr 'ref' z powodu niewystarczającej sanitizacji danych. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność ta dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności serwisu. Operatorzy powinni zweryfikować swoje instalacje i ograniczyć ryzyko potencjalnych ataków XSS.

Rekomendowane działania administratora

Zaleca się sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich szybkie wdrożenie. W międzyczasie warto ograniczyć dostęp administratorów oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo, należy zweryfikować konfigurację multisite i ustawienia unfiltered_html, aby zminimalizować ekspozycję na atak.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference