CVE-2024-13612: podatność Stored XSS w wtyczce Better Messages dla WordPress

Co wiadomo

Wtyczka Better Messages – Live Chat dla WordPress i powiązanych platform jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'better_messages_live_chat_button' w wersjach do 2.6.9 włącznie. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację serwisu oraz bezpieczeństwo danych klientów i pracowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Better Messages i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji korzystających z podatnego shortcode. Monitorowanie i priorytetyzacja działań zabezpieczających jest kluczowa.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference