Analityczne wykorzystywanie plików cookies
CVE-2024-12722: podatność XSS w wtyczce Twitter Bootstrap Collapse (Accordian Shortcode) dla WordPress
Podatność XSS w wtyczce Twitter Bootstrap Collapse (Accordian Shortcode) umożliwia ataki przez użytkowników z rolą współautora. Zalecane szybkie aktualizacje i ograniczenia uprawnień.
- CVSS
- 5.4 MEDIUM
- EPSS
- 17.43%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- twitter bootstrap collapse aka accordian shortcode
Co wiadomo
Wtyczka WordPress Twitter Bootstrap Collapse (Accordian Shortcode) do wersji 1.0 nie waliduje i nie oczyszcza poprawnie niektórych atrybutów shortcode przed ich wyświetleniem, co umożliwia użytkownikom z rolą współautora i wyższą przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS).
Wpływ biznesowy
Podatność ta może pozwolić na wstrzyknięcie złośliwego kodu JavaScript przez użytkowników z uprawnieniami współautora i wyższymi, co zagraża bezpieczeństwu witryny oraz jej użytkowników. Ataki XSS mogą prowadzić do kradzieży sesji, przejęcia konta lub innych działań naruszających integralność i poufność danych. Właściciele stron korzystających z tej wtyczki powinni potraktować tę lukę jako istotne zagrożenie dla bezpieczeństwa CMS.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz jej instalację po wydaniu poprawki. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, przejrzeć logi pod kątem podejrzanych aktywności oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli jest to możliwe. Regularne monitorowanie i audyt bezpieczeństwa CMS pomoże zminimalizować ryzyko wykorzystania tej podatności.