CVE-2024-13157: Wrażliwość Stored XSS w wtyczce MP3 Audio Player dla WordPress

Co wiadomo

Wtyczka MP3 Audio Player – Music Player, Podcast Player & Radio by Sonaar dla WordPress do wersji 5.9.3 jest podatna na atak Stored Cross-Site Scripting poprzez kanał RSS podcastu. Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z poziomem współtwórcy lub wyższym wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji, defacementu strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. W środowiskach WordPress wykorzystujących tę wtyczkę istnieje ryzyko naruszenia integralności i bezpieczeństwa treści publikowanych na stronie.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy i ich wdrożenie. W międzyczasie ogranicz dostęp użytkowników do poziomu współtwórcy i wyższego oraz monitoruj logi pod kątem podejrzanych działań. Warto również przeprowadzić przegląd i oczyszczenie kanałów RSS podcastów oraz stosować zasady sanitizacji i walidacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference