Analityczne wykorzystywanie plików cookies
CVE-2024-13459: podatność Stored Cross-Site Scripting w wtyczce FuseDesk dla WordPress
Podatność Stored XSS w wtyczce FuseDesk do WordPress umożliwia atakującym wstrzyknięcie złośliwych skryptów. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 20.57%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- fusedesk
Co wiadomo
Wtyczka FuseDesk dla WordPress do wersji 6.6.1 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w shortcode 'fusedesk_newcase', wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej na poziomie współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Ta luka może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych wykonywanych w kontekście przeglądarki ofiary. Operatorzy stron wykorzystujących FuseDesk powinni zwrócić uwagę na potencjalne ryzyko dla integralności i bezpieczeństwa danych oraz reputacji serwisu. Niewłaściwe zarządzanie uprawnieniami użytkowników zwiększa ryzyko wykorzystania tej podatności.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki FuseDesk u jej dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp do funkcji wtyczki tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Przeprowadź przegląd uprawnień użytkowników, aby minimalizować ryzyko nadużyć. Warto również rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.