CVE-2024-13662: Stored XSS w wtyczce eHive Objects Image Grid dla WordPress

Co wiadomo

Wtyczka eHive Objects Image Grid dla WordPress do wersji 2.4.1 jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'ehive_objects_image_grid'. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się przy każdym dostępie do zainfekowanej strony. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub dalszych ataków na użytkowników i infrastrukturę. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki eHive Objects Image Grid i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, przejrzeć logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode'u 'ehive_objects_image_grid'. Regularne monitorowanie i audyt bezpieczeństwa aplikacji WordPress jest również wskazany.

Źródła

• NVD
• Reference
• Reference
• Reference