CVE-2024-1341: luka XSS w wtyczce Advanced iFrame dla WordPress

Co wiadomo

Wtyczka Advanced iFrame dla WordPress do wersji 2024.1 włącznie jest podatna na przechowywany atak Cross-Site Scripting (XSS) poprzez shortcode advanced_iframe. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty JavaScript z zewnętrznych źródeł, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla użytkowników i właścicieli stron. Może to narazić infrastrukturę na utratę zaufania i potencjalne naruszenia bezpieczeństwa danych.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Advanced iFrame u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz uprawnienia użytkowników do niezbędnego minimum, monitoruj logi pod kątem podejrzanych działań i rozważ tymczasowe wyłączenie funkcji umożliwiającej dodawanie zewnętrznych skryptów JavaScript.

Źródła

• NVD
• Reference
• Reference