CVE-2024-13389: podatność Stored XSS w wtyczce Cliptakes dla WordPress

Co wiadomo

Wtyczka Cliptakes dla WordPress do wersji 1.3.4 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w shortcode 'cliptakes_input_email', wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych na stronach korzystających z wtyczki Cliptakes. Atakujący z uprawnieniami współtwórcy mogą wstrzykiwać złośliwe skrypty, co stanowi poważne zagrożenie dla integralności i bezpieczeństwa witryny oraz jej użytkowników. Operatorzy powinni traktować tę lukę jako istotne ryzyko dla środowisk WordPress z zainstalowaną wtyczką.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Cliptakes i ich zastosowanie. W przypadku braku łatki, ograniczenie uprawnień użytkowników do niezbędnego minimum oraz monitorowanie logów pod kątem podejrzanej aktywności. Dodatkowo warto przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem potencjalnych wstrzyknięć skryptów oraz stosować mechanizmy zabezpieczające przed XSS.

Źródła

• NVD
• Reference
• Reference