Analityczne wykorzystywanie plików cookies
CVE-2024-13455: podatność Stored Cross-Site Scripting w wtyczce igumbi dla WordPress
Podatność Stored XSS w wtyczce igumbi WordPress do wersji 1.40 umożliwia atakującym z uprawnieniami współtwórcy wstrzyknięcie złośliwych skryptów. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 14.85%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- igumbi
Co wiadomo
Wtyczka igumbi Online Booking dla WordPress do wersji 1.40 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) w shortcode 'igumbi_calendar' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.
Wpływ biznesowy
Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających zainfekowane strony, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący z uprawnieniami współtwórcy mogą wykorzystać lukę do eskalacji ataków, wpływając na reputację i zaufanie do serwisu. Operatorzy CMS powinni traktować tę lukę jako istotne ryzyko dla bezpieczeństwa aplikacji.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki igumbi i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, szczególnie poziomu współtwórcy i wyżej. Dodatkowo warto przeprowadzić przegląd logów pod kątem podejrzanych działań oraz monitorować witrynę pod kątem nietypowego zachowania. Priorytetowo traktuj aktualizacje i zabezpieczenia CMS.