WP Smart TV Plugin dla WordPress narażony na atak Stored Cross-Site Scripting (CVE-2024-12818)

Co wiadomo

Wtyczka WP Smart TV dla WordPress do wersji 2.1.8 włącznie posiada lukę typu Stored Cross-Site Scripting w shortcode 'tv-video-player', wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka umożliwia atakującym z poziomem dostępu współtwórcy lub wyższym wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPress, co może prowadzić do przejęcia sesji użytkowników, deface'u strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa firmy. Operatorzy CMS powinni traktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP Smart TV i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode 'tv-video-player' do czasu załatania luki. Regularne przeglądy i audyty bezpieczeństwa wtyczek są kluczowe.

Źródła

• NVD
• Reference
• Reference