CVE-2024-13658: podatność Stored XSS w wtyczce NGG Smart Image Search dla WordPress

Co wiadomo

Wtyczka NGG Smart Image Search dla WordPress do wersji 3.2.1 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'hr_SIS_nextgen_searchbox' z powodu niewystarczającej sanitacji i ucieczki danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta umożliwia atakującym z dostępem na poziomie współtwórcy lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach biznesowych może to skutkować utratą zaufania klientów oraz naruszeniem bezpieczeństwa danych.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki NGG Smart Image Search i zaktualizować ją do najnowszej dostępnej wersji, jeśli została wydana poprawka. W przypadku braku aktualizacji zaleca się ograniczenie uprawnień użytkowników oraz przegląd logów pod kątem podejrzanej aktywności. Dodatkowo warto rozważyć zastosowanie mechanizmów zabezpieczających przed XSS oraz monitorowanie środowiska pod kątem nietypowych zachowań.

Źródła

• NVD
• Reference
• Reference