CVE-2024-12444: podatność Stored Cross-Site Scripting w wtyczce WP Dispensary

Co wiadomo

Wtyczka WP Dispensary dla WordPressa do wersji 4.5.0 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'wpd_menu' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających zainfekowane strony, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący z uprawnieniami współtwórcy mogą wykorzystać lukę do eskalacji ataku, co wymaga uwagi administratorów stron opartych na WordPress z zainstalowaną wtyczką WP Dispensary.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Dispensary u jej dostawcy i zastosowanie najnowszej wersji. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie shortcode 'wpd_menu' na stronach produkcyjnych.

Źródła

• NVD
• Reference
• Reference
• Reference