Analityczne wykorzystywanie plików cookies
Wrażliwość Stored XSS w wtyczce Sellsy dla WordPress (CVE-2024-12592)
Wtyczka Sellsy do WordPress ma podatność Stored XSS w shortcode 'testSellsy' do wersji 2.3.3. Zalecana aktualizacja i ograniczenie uprawnień użytkowników.
- CVSS
- 6.4 MEDIUM
- EPSS
- 18.17%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Sellsy dla WordPress do wersji 2.3.3 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'testSellsy'. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych w atrybutach użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji serwisu.
Rekomendowane działania administratora
Zaleca się aktualizację wtyczki Sellsy do najnowszej wersji, jeśli dostępna, lub kontakt z dostawcą w celu uzyskania poprawki. W międzyczasie ogranicz dostęp użytkowników do poziomu niepozwalającego na korzystanie z shortcode 'testSellsy', monitoruj logi pod kątem podejrzanej aktywności oraz stosuj zasady minimalizacji uprawnień.