CVE-2024-13099: podatność Reflected XSS w wtyczce Widget4Call dla WordPress

Co wiadomo

Wtyczka Widget4Call do WordPressa w wersjach do 1.0.7 nie sanitizuje i nie zabezpiecza odpowiednio parametru przed wyświetleniem na stronie, co prowadzi do podatności typu Reflected Cross-Site Scripting (XSS). Atakujący mogą wykorzystać tę lukę przeciwko użytkownikom o wysokich uprawnieniach, takim jak administratorzy.

Wpływ biznesowy

Podatność ta może umożliwić atakującym wykonanie złośliwego kodu w kontekście przeglądarki administratorów WordPressa, co może skutkować przejęciem kontroli nad panelem zarządzania lub eskalacją uprawnień. W efekcie zagrożone są integralność i bezpieczeństwo witryny oraz danych przechowywanych w systemie.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Widget4Call u dostawcy oraz jej instalację. W przypadku braku łatki warto ograniczyć dostęp do panelu administracyjnego, monitorować logi pod kątem podejrzanych działań oraz stosować dodatkowe mechanizmy zabezpieczające przed XSS. Priorytetowo traktuj aktualizacje i audyt bezpieczeństwa środowiska WordPress.

Źródła

• NVD
• Reference