CVE-2024-12724: podatność Reflected XSS w wtyczce WP DeskLite

Co wiadomo

Wtyczka WP DeskLite do WordPressa w wersji do 1.0.0 nie sanitizuje i nie ucieka parametrów przed ich wyświetleniem na stronie, co prowadzi do podatności typu Reflected Cross-Site Scripting (XSS). Atakujący mogą wykorzystać tę lukę przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wpływ biznesowy

Podatność umożliwia przeprowadzenie ataków XSS, które mogą skutkować przejęciem sesji administratorów lub wykonaniem nieautoryzowanych działań w panelu WordPress. Może to prowadzić do kompromitacji całej witryny oraz utraty zaufania użytkowników. Operatorzy powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa CMS.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP DeskLite u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych adresów IP, monitorować logi pod kątem podejrzanych żądań oraz stosować mechanizmy ochrony przed XSS, takie jak Web Application Firewall (WAF).

Źródła

• NVD
• Reference