CVE-2024-12467: podatność Reflected Cross-Site Scripting w wtyczce Pago por Redsys dla WordPress

Co wiadomo

Wtyczka Pago por Redsys dla WordPress do wersji 1.0.12 włącznie jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr 'Ds_MerchantParameters' z powodu niewystarczającej sanitacji i ucieczki danych wyjściowych. Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się po nakłonieniu użytkownika do kliknięcia w spreparowany link.

Wpływ biznesowy

Ta podatność może umożliwić nieautoryzowanym osobom wykonanie złośliwych skryptów w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, przekierowań lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę poważnie, zwłaszcza jeśli ich witryny obsługują płatności lub dane wrażliwe.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Pago por Redsys u dostawcy oraz jej wdrożenie. W międzyczasie warto ograniczyć ekspozycję podatnego parametru, monitorować logi pod kątem podejrzanych żądań oraz edukować użytkowników w zakresie unikania klikania w nieznane linki. Priorytetowo traktuj aktualizacje i audyt bezpieczeństwa wtyczek WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference