Analityczne wykorzystywanie plików cookies
CVE-2024-12437: Stored Cross-Site Scripting w wtyczce Marketplace Items dla WordPress
Luka XSS w wtyczce Marketplace Items dla WordPress do wersji 1.5.5 umożliwia ataki przez shortcode 'envato'. Zalecana aktualizacja i ograniczenie uprawnień.
- CVSS
- 6.4 MEDIUM
- EPSS
- 32.26%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Marketplace Items dla WordPress do wersji 1.5.5 zawiera lukę typu Stored Cross-Site Scripting (XSS) w shortcode 'envato', wynikającą z niewystarczającej sanitizacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Luka pozwala na wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Administratorzy stron WordPress korzystających z tej wtyczki powinni traktować tę podatność jako istotne zagrożenie dla bezpieczeństwa witryny i danych użytkowników.
Rekomendowane działania administratora
Zaleca się jak najszybsze zaktualizowanie wtyczki Marketplace Items do wersji nowszej niż 1.5.5, jeśli jest dostępna. W przypadku braku aktualizacji należy ograniczyć uprawnienia użytkowników do poziomu niższego niż współtwórca oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo warto przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem wstrzykniętych skryptów.