CVE-2024-12446: Wrażliwość Stored XSS w wtyczce Post to Pdf dla WordPress

Co wiadomo

Wtyczka Post to Pdf dla WordPress do wersji 1.0 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'gmptp_single_post'. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współpracownika.

Wpływ biznesowy

Atakujący z dostępem na poziomie współpracownika lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań naruszających bezpieczeństwo i integralność witryny WordPress, wpływając negatywnie na zaufanie użytkowników i stabilność usług.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Post to Pdf i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode 'gmptp_single_post' do czasu usunięcia podatności.

Źródła

• NVD
• Reference
• Reference