WP jQuery DataTable do WordPress podatny na przechowywany XSS (CVE-2024-12499)

Co wiadomo

Wtyczka WP jQuery DataTable dla WordPressa do wersji 4.0.1 włącznie zawiera lukę przechowywanego Cross-Site Scripting (XSS) w shortcode 'wp_jdt' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka ta stanowi zagrożenie dla witryn opartych na WordPress z zainstalowaną podatną wersją wtyczki, ponieważ atakujący mogą wstrzykiwać i wykonywać złośliwy kod w kontekście użytkownika. Może to prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa serwisu. Operatorzy powinni traktować tę lukę jako istotną i podjąć działania minimalizujące ryzyko.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP jQuery DataTable i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, szczególnie dla ról z możliwością korzystania ze shortcode 'wp_jdt'. Dodatkowo warto przejrzeć logi pod kątem podejrzanych aktywności oraz monitorować witrynę pod kątem nietypowego zachowania.

Źródła

• NVD
• Reference
• Reference