Analityczne wykorzystywanie plików cookies
CVE-2024-13559: Stored XSS w wtyczce TemplatesNext ToolKit dla WordPress
Luka Stored XSS w wtyczce TemplatesNext ToolKit dla WordPress do wersji 3.2.9 umożliwia ataki przez wstrzyknięcie skryptów. Zalecane aktualizacje i ograniczenia uprawnień.
- CVSS
- 6.4 MEDIUM
- EPSS
- 15.6%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka TemplatesNext ToolKit dla WordPress do wersji 3.2.9 zawiera lukę Stored Cross-Site Scripting (XSS) w shortcode 'tx_woo_wishlist_table' z powodu niewystarczającej sanitizacji i ucieczki danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Luka pozwala na wstrzyknięcie i wykonanie złośliwego kodu JavaScript przez użytkowników z uprawnieniami współtwórcy i wyższymi, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i administratorów. Zagrożenie dotyczy właścicieli stron WordPress korzystających z tej wtyczki, szczególnie jeśli dostęp do panelu mają liczni użytkownicy z podwyższonymi uprawnieniami.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki TemplatesNext ToolKit i jej instalację, jeśli dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie shortcode 'tx_woo_wishlist_table' lub całej wtyczki. Regularne przeglądy i audyty bezpieczeństwa są wskazane.