CVE-2024-12598: Stored XSS w wtyczce MyBookProgress dla WordPress

Co wiadomo

Wtyczka MyBookProgress firmy Stormhill Media dla WordPress do wersji 1.0.8 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr 'book'. Atakujący z uprawnieniami co najmniej na poziomie Współautora mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami Współautora i wyższymi wstrzykiwanie złośliwego kodu, co może prowadzić do przejęcia sesji, kradzieży danych lub dalszych ataków na użytkowników serwisu. Właściciele stron WordPress korzystający z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa i integralności swoich witryn.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki MyBookProgress u dostawcy oraz jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt bezpieczeństwa i edukować użytkowników o ryzyku związanym z tą podatnością.

Źródła

• NVD
• Reference
• Reference