CVE-2024-12500: Stored Cross-Site Scripting w wtyczce Philantro dla WordPress

Co wiadomo

Wtyczka Philantro – Donations and Donor Management dla WordPress do wersji 5.2 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode'y, takie jak 'donate', z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący mogą wykorzystać ją do kradzieży sesji, przejęcia kont lub rozprzestrzeniania złośliwego oprogramowania. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Philantro i ich wdrożenie. W przypadku braku łatki, ograniczenie dostępu do funkcji shortcode dla użytkowników z uprawnieniami współtwórcy i wyższymi oraz monitorowanie logów pod kątem podejrzanej aktywności. Dodatkowo warto przeprowadzić audyt bezpieczeństwa i zminimalizować ekspozycję podatnych elementów strony.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference