CVE-2024-12439: Luka XSS w wtyczce Marketplace Items dla WordPress

Co wiadomo

Wtyczka Marketplace Items dla WordPress do wersji 1.5.5 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode 'marketplace'. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych przekazywanych przez użytkownika.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony przez innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań naruszających bezpieczeństwo i integralność witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Marketplace Items i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode 'marketplace' do czasu usunięcia podatności.

Źródła

• NVD
• Reference
• Reference
• Reference