CVE-2024-12493: Stored XSS w wtyczce Files Download Delay dla WordPress

Co wiadomo

Wtyczka Files Download Delay dla WordPress do wersji 1.0.9 zawiera lukę typu Stored Cross-Site Scripting (XSS) w shortcode 'fddwrap', wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację serwisu oraz bezpieczeństwo danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze zaktualizowanie wtyczki Files Download Delay do wersji nowszej niż 1.0.9, jeśli dostępna. W przypadku braku aktualizacji należy ograniczyć uprawnienia użytkowników, przejrzeć logi pod kątem podejrzanej aktywności oraz monitorować strony korzystające z shortcode 'fddwrap' pod kątem nieautoryzowanych zmian. Warto również rozważyć tymczasowe wyłączenie wtyczki do czasu wdrożenia poprawki.

Źródła

• NVD
• Reference
• Reference
• Reference