Analityczne wykorzystywanie plików cookies
CVE-2024-12460: Stored Cross-Site Scripting w wtyczce Years Since – Timeless Texts dla WordPress
Podatność XSS w wtyczce Years Since – Timeless Texts dla WordPress do wersji 1.4.1 umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami współtwórcy.
- CVSS
- 6.4 MEDIUM
- EPSS
- 20.1%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Years Since – Timeless Texts dla WordPress do wersji 1.4.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'years-since'. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.
Wpływ biznesowy
Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, przejęcia kont lub innych działań szkodliwych dla bezpieczeństwa i reputacji serwisu. Właściciele stron powinni zwrócić uwagę na potencjalne ryzyko związane z tą podatnością, zwłaszcza w środowiskach z wieloma użytkownikami o podwyższonych uprawnieniach.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie najnowszej wersji, która eliminuje podatność. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie mechanizmów zapobiegających XSS, takich jak Web Application Firewall (WAF).