CVE-2024-13391: Wrażliwość Stored XSS w wtyczce MicroPayments dla WordPress

Co wiadomo

Wtyczka MicroPayments – Fans Paysite: Paid Creator Subscriptions, Digital Assets, Tokens Wallet dla WordPress do wersji 2.9.29 zawiera lukę Stored Cross-Site Scripting (XSS) w shortcode 'videowhisper_content_upload_guest' z powodu niewystarczającej sanitizacji i ucieczki danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Luka umożliwia uwierzytelnionym użytkownikom z poziomem dostępu współtwórcy lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację serwisu oraz bezpieczeństwo danych użytkowników.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki MicroPayments i zaktualizować ją do najnowszej dostępnej wersji pochodzącej od producenta. W przypadku braku aktualizacji zaleca się ograniczenie dostępu użytkowników do poziomu niższego niż współtwórca, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie i filtrowanie danych wejściowych. Warto również rozważyć wdrożenie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference