CVE-2024-12623: Wrażliwość Stored XSS w wtyczce DICOM Support dla WordPress

Co wiadomo

Wtyczka DICOM Support dla WordPress do wersji 0.10.6 zawiera lukę Stored Cross-Site Scripting (XSS) w shortcode 'dcm', wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanej strony.

Wpływ biznesowy

Luka umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPress. Może to prowadzić do przejęcia sesji, deface'u strony lub innych działań naruszających bezpieczeństwo i integralność witryny. Operatorzy powinni traktować tę lukę jako średniego ryzyka, zwłaszcza w środowiskach z wieloma użytkownikami o podwyższonych uprawnieniach.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki DICOM Support i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie shortcode 'dcm. Regularnie przeglądaj i audytuj uprawnienia użytkowników, aby minimalizować ryzyko wykorzystania tej luki.

Źródła

• NVD
• Reference
• Reference
• Reference