CVE-2024-12597: podatność Stored XSS w wtyczce HT Mega dla WordPress

Co wiadomo

Wtyczka HT Mega – Absolute Addons For Elementor dla WordPress jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametry 'block_css' i 'inner_css' w wersjach do 2.7.6 włącznie. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z ograniczonymi uprawnieniami wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji, defraudacji danych lub dalszej eskalacji ataku w środowisku WordPress. Może to negatywnie wpłynąć na bezpieczeństwo witryny oraz zaufanie użytkowników, a także spowodować potencjalne szkody w infrastrukturze IT.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki HT Mega i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić przegląd zabezpieczeń i edukację użytkowników o ryzyku XSS.

Źródła

• NVD
• Reference
• Reference