CVE-2024-12814: Luka XSS w wtyczce Loan Comparison dla WordPress

Co wiadomo

Wtyczka Loan Comparison dla WordPress do wersji 2.0 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w shortcode 'loancomparison' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka pozwala na trwałe wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i właścicieli serwisów. Atakujący z uprawnieniami współtwórcy mogą wykorzystać tę podatność do eskalacji ataku, wpływając na reputację i bezpieczeństwo witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie poprawek. W międzyczasie ogranicz uprawnienia użytkowników do minimum niezbędnego oraz monitoruj logi pod kątem podejrzanej aktywności. Przeanalizuj i oczyść wszelkie podejrzane wpisy w treści stron korzystających z shortcode 'loancomparison'.

Źródła

• NVD
• Reference
• Reference
• Reference