CVE-2024-13441: podatność Stored XSS w wtyczce Bilingual Linker dla WordPress

Co wiadomo

Wtyczka Bilingual Linker dla WordPress do wersji 2.4 włącznie jest podatna na atak Stored Cross-Site Scripting poprzez parametr bl_otherlang_link_1 z powodu niewystarczającej sanitacji danych wejściowych i braków w escapingu wyjścia. Atakujący z uprawnieniami co najmniej na poziomie Współpracownika mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami Współpracownika i wyższymi wstrzykiwanie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację serwisu oraz bezpieczeństwo danych i użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Bilingual Linker u dostawcy i ich wdrożenie. W międzyczasie ogranicz dostęp do wtyczki tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Przeanalizuj i ogranicz możliwość wprowadzania danych przez użytkowników z uprawnieniami Współpracownika i wyższymi, a także rozważ zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń aplikacji webowej.

Źródła

• NVD
• Reference
• Reference
• Reference