Analityczne wykorzystywanie plików cookies
CVE-2024-13504: Wrażliwość Stored XSS w wtyczce Shared Files dla WordPress
Wtyczka Shared Files WordPress do 1.7.42 ma podatność Stored XSS przez pliki dfxp. Zalecane aktualizacje i monitorowanie środowiska Apache.
- CVSS
- 7.2 HIGH
- EPSS
- 29.85%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka Shared Files – Frontend File Upload Form & Secure File Sharing dla WordPress do wersji 1.7.42 jest podatna na atak Stored Cross-Site Scripting poprzez przesyłanie plików dfxp. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego zabezpieczenia wyjścia, co pozwala nieautoryzowanym atakującym na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący mogą wykorzystać tę podatność do wykonania złośliwego kodu w przeglądarce użytkownika odwiedzającego stronę z załadowanym plikiem dfxp, co może prowadzić do kradzieży danych sesji, przejęcia konta lub innych działań szkodliwych dla użytkowników i reputacji firmy. Luka dotyczy środowisk opartych na serwerze Apache, gdzie pliki dfxp są obsługiwane domyślnie.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Shared Files i ich wdrożenie. W przypadku braku łatki należy ograniczyć możliwość przesyłania plików dfxp, monitorować logi serwera pod kątem podejrzanych aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń aplikacji webowych.