CVE-2024-13517: podatność Stored Cross-Site Scripting w Easy Digital Downloads

Co wiadomo

Wtyczka Easy Digital Downloads – eCommerce Payments and Subscriptions made easy dla WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez wartość tytułu we wszystkich wersjach do 3.3.2 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, umożliwiając administratorom wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność dotyczy instalacji multisite oraz tych, gdzie opcja unfiltered_html jest wyłączona. Atakujący z uprawnieniami administratora mogą wstrzykiwać i wykonywać złośliwe skrypty, co może prowadzić do przejęcia sesji użytkowników lub manipulacji zawartością stron. Może to wpłynąć na integralność i bezpieczeństwo witryny oraz zaufanie użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Easy Digital Downloads u dostawcy awesomemotive i ich wdrożenie. W międzyczasie ogranicz dostęp administratorów oraz monitoruj logi pod kątem podejrzanej aktywności. Warto również zweryfikować konfigurację multisite i ustawienia unfiltered_html, aby ograniczyć ekspozycję na atak.

Źródła

• NVD
• Reference
• Reference