Analityczne wykorzystywanie plików cookies
CVE-2024-1328: podatność Stored Cross-Site Scripting w wtyczce Newsletter2Go dla WordPress
Newsletter2Go do wersji 4.0.14 ma lukę XSS umożliwiającą ataki przez parametr 'style'. Zalecane aktualizacje i monitorowanie bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 22.67%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- newsletter2go
Co wiadomo
Wtyczka Newsletter2Go dla WordPress do wersji 4.0.14 włącznie jest podatna na atak Stored Cross-Site Scripting poprzez parametr 'style' z powodu niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami subskrybenta lub wyższymi wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności serwisu. Atakujący mogą wykorzystać ją do kradzieży sesji, manipulacji zawartością strony lub dalszego rozprzestrzeniania złośliwego oprogramowania. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa użytkowników i reputacji serwisu.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Newsletter2Go u jej dostawcy oraz ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu subskrybenta lub wyższego oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo warto rozważyć zastosowanie mechanizmów zabezpieczających przed XSS, takich jak Content Security Policy (CSP).