Luka XSS w wtyczce Team Members dla WordPressa (CVE-2024-1331)

Co wiadomo

Wtyczka Team Members dla WordPressa w wersjach przed 5.3.2 nieprawidłowo waliduje i nie zabezpiecza niektórych atrybutów shortcode, co umożliwia użytkownikom z rolą autora i wyższą przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS).

Wpływ biznesowy

Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwy kod JavaScript, który zostanie zapisany i wykonany w przeglądarkach innych użytkowników odwiedzających stronę. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub dalszych ataków na infrastrukturę IT. Zagrożenie to wpływa na bezpieczeństwo witryn opartych na WordPressie korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki Team Members do wersji 5.3.2 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, ogranicz uprawnienia użytkowników do minimum niezbędnego do pracy, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Regularnie przeglądaj i weryfikuj wtyczki pod kątem dostępnych poprawek.

Źródła

• NVD
• Reference