CVE-2024-12595: podatność Reflected XSS w wtyczce ahathat dla WordPress

Co wiadomo

Wtyczka ahathat dla WordPress w wersji do 1.6 nie zabezpiecza parametru $_SERVER['REQUEST_URI'] przed wyświetleniem, co może prowadzić do ataku Reflected Cross-Site Scripting (XSS) w starszych przeglądarkach internetowych. Luka ta ma średni poziom ryzyka (CVSS 4.7).

Wpływ biznesowy

Atak Reflected XSS może umożliwić atakującemu wykonanie złośliwego kodu w przeglądarce użytkownika, co może skutkować kradzieżą sesji lub manipulacją zawartością strony. Dla operatorów stron opartych na WordPress z wtyczką ahathat istnieje ryzyko obniżenia zaufania użytkowników i potencjalnych problemów z bezpieczeństwem danych. Warto zwrócić uwagę na starsze przeglądarki, które są bardziej podatne na tę lukę.

Rekomendowane działania administratora

Zaleca się sprawdzenie dostępności aktualizacji wtyczki ahathat u dostawcy oraz jej niezwłoczne zastosowanie. W przypadku braku łatki warto ograniczyć ekspozycję wtyczki, monitorować logi serwera pod kątem podejrzanych żądań oraz edukować użytkowników o ryzyku korzystania ze starych przeglądarek. Priorytetowo traktuj aktualizacje i audyt bezpieczeństwa środowiska WordPress.

Źródła

• NVD
• Reference