Analityczne wykorzystywanie plików cookies
CVE-2024-12463: podatność Stored XSS w wtyczce arena.im dla WordPress
Podatność Stored XSS w wtyczce arena.im dla WordPress do wersji 0.4.1 pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami współtwórcy.
- CVSS
- 6.4 MEDIUM
- EPSS
- 22.83%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- arena.im
Co wiadomo
Wtyczka Arena.IM – Live Blogging dla WordPress do wersji 0.4.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'arena_embed_amp'. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych użytkownika, co pozwala atakującym z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Podatność umożliwia uwierzytelnionym użytkownikom z poziomem współtwórcy lub wyższym wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPress, co może prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i właścicieli serwisu. Może to negatywnie wpłynąć na reputację firmy oraz bezpieczeństwo danych.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki arena.im u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów ochrony przed XSS, takich jak Web Application Firewall.