Analityczne wykorzystywanie plików cookies
CVE-2024-13402: podatność Stored Cross-Site Scripting w wtyczce Buddyboss Platform
Podatność Stored XSS w wtyczce Buddyboss Platform do WordPressa umożliwia ataki przez parametr 'link_title'. Zalecane szybkie aktualizacje i monitorowanie.
- CVSS
- 6.4 MEDIUM
- EPSS
- 13.95%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- buddyboss platform
Co wiadomo
Wtyczka Buddyboss Platform dla WordPressa do wersji 2.7.70 włącznie jest podatna na atak Stored Cross-Site Scripting poprzez parametr 'link_title' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej subskrybenta wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzania zainfekowanej strony.
Wpływ biznesowy
Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu danych i integralności serwisu. Atakujący mogą wykorzystać ją do kradzieży danych sesji lub przeprowadzenia dalszych ataków na użytkowników i infrastrukturę. Operatorzy stron korzystających z Buddyboss Platform powinni traktować tę lukę jako istotne ryzyko dla bezpieczeństwa CMS.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Buddyboss Platform i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających, takich jak Web Application Firewall. Priorytetem jest szybka identyfikacja i eliminacja ryzyka związanego z tą podatnością.