CVE-2024-12445: Stored XSS w wtyczce RightMessage WP dla WordPress

Co wiadomo

Wtyczka RightMessage WP dla WordPress do wersji 0.9.7 zawiera lukę typu Stored Cross-Site Scripting (XSS) w shortcode 'rm_area' z powodu niewystarczającej sanitizacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej na poziomie współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący mogą wykraść sesje, manipulować zawartością strony lub przeprowadzać dalsze ataki na użytkowników. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki RightMessage WP i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode 'rm_area'. Regularnie przeglądaj i aktualizuj komponenty WordPress, aby minimalizować ryzyko.

Źródła

• NVD
• Reference
• Reference
• Reference