CVE-2024-13497: podatność Stored Cross-Site Scripting w wtyczce Tripetto dla WordPress

Co wiadomo

Wtyczka Tripetto do WordPress, służąca do tworzenia formularzy kontaktowych, ankiet i quizów, jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez przesyłanie załączników w wersjach do 8.0.9 włącznie. Luka wynika z niewystarczającej sanitizacji danych wejściowych i braku odpowiedniego zabezpieczenia wyjścia, co pozwala nieautoryzowanym atakującym na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika odwiedzającego stronę z załączonym plikiem, co zagraża bezpieczeństwu danych i integralności systemu. Atakujący mogą wykorzystać tę lukę do kradzieży danych sesji, przejęcia kont użytkowników lub rozprzestrzeniania złośliwego oprogramowania. Operatorzy stron opartych na WordPress powinni traktować tę lukę jako wysokie ryzyko i podjąć działania minimalizujące potencjalne szkody.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Tripetto i ich wdrożenie. W przypadku braku natychmiastowej możliwości aktualizacji, ograniczenie możliwości przesyłania załączników przez użytkowników oraz monitorowanie logów pod kątem podejrzanych aktywności jest wskazane. Dodatkowo warto przeprowadzić przegląd konfiguracji zabezpieczeń oraz edukować użytkowników o ryzyku związanym z otwieraniem nieznanych plików.

Źródła

• NVD
• Reference
• Reference
• Reference