Luka XSS w wtyczce Proofreading dla WordPress (CVE-2024-12466)

Co wiadomo

Wtyczka Proofreading dla WordPress do wersji 1.2.1.1 jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr 'nonce' z powodu niewystarczającej sanitizacji i escapingu danych wejściowych. Atakujący może nakłonić użytkownika do wykonania złośliwej akcji, np. kliknięcia w spreparowany link, co skutkuje wykonaniem nieautoryzowanego skryptu.

Wpływ biznesowy

Podatność ta umożliwia nieautoryzowanym osobom wstrzyknięcie i wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych sesji, przekierowań lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy stron opartych na WordPress powinni zwrócić uwagę na potencjalne ryzyko naruszenia bezpieczeństwa i prywatności użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Proofreading i jej instalację, jeśli jest dostępna. W przypadku braku łatki, ogranicz ekspozycję wtyczki, monitoruj logi pod kątem podejrzanych aktywności oraz edukuj użytkowników w zakresie unikania klikania podejrzanych linków. Priorytetyzuj działania naprawcze zgodnie z ryzykiem biznesowym.

Źródła

• NVD
• Reference
• Reference
• Reference