CVE-2024-12738: Stored XSS w wtyczce User Profile Builder dla WordPress

Co wiadomo

Wtyczka User Profile Builder dla WordPress do wersji 3.12.9 zawiera podatność typu Stored Cross-Site Scripting (XSS) w kilku parametrach meta użytkownika, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący bez uwierzytelnienia mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas przeglądania zmodyfikowanych stron i kliknięcia linków pokazujących meta użytkownika.

Wpływ biznesowy

Podatność umożliwia atakującym przeprowadzenie ataków XSS, co może prowadzić do kradzieży sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa serwisu. Operatorzy stron WordPress korzystający z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa użytkowników i reputacji serwisu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki User Profile Builder i ich zastosowanie. W przypadku braku łatki należy ograniczyć dostęp do funkcji wyświetlających meta użytkownika, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić przegląd i oczyszczenie danych użytkowników. Priorytetowo traktuj aktualizacje i zabezpieczenia wtyczek WordPress.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference