CVE-2024-13599: podatność Stored XSS w wtyczce LearnPress dla WordPress

Co wiadomo

Wtyczka LearnPress dla WordPress do wersji 4.2.7.5 zawiera podatność typu Stored Cross-Site Scripting (XSS) z powodu niewystarczającej sanitacji i escapingu nazw lekcji. Umożliwia to atakującym z uprawnieniami instruktora w LearnPress wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników, co zagraża bezpieczeństwu danych i integralności platformy edukacyjnej opartej na WordPress. Atakujący z uprawnieniami instruktora mogą wykorzystać lukę do eskalacji ataku na użytkowników i administratorów, co może skutkować utratą zaufania i potencjalnymi naruszeniami danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki LearnPress u dostawcy oraz ich wdrożenie. W międzyczasie ogranicz dostęp do kont z uprawnieniami instruktora, monitoruj logi pod kątem podejrzanych działań oraz rozważ zastosowanie dodatkowych mechanizmów filtrowania i zabezpieczeń aplikacji webowej.

Źródła

• NVD
• Reference
• Reference
• Reference