CVE-2024-1349: podatność Stored XSS w wtyczce EmbedPress dla WordPress

Co wiadomo

Wtyczka EmbedPress do WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode'y, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej współtwórcy. Problem dotyczy wszystkich wersji do 3.9.8 włącznie i wynika z niewystarczającej sanitacji oraz escapingu danych wejściowych.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które będą wykonywane podczas odwiedzania zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie odpowiednich poprawek jest kluczowe dla ochrony środowiska WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki EmbedPress i ich wdrożenie. W przypadku braku natychmiastowej poprawki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji shortcode'ów wrażliwych na atak. Regularne audyty bezpieczeństwa i edukacja użytkowników również pomagają minimalizować ryzyko.

Źródła

• NVD
• Reference
• Reference
• Reference