CVE-2024-1384: podatność Stored XSS w wtyczce auxinportfolio dla WordPress

Co wiadomo

Wtyczka Premium Portfolio Features dla motywu Phlox w WordPress (do wersji 2.3.4 włącznie) jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'aux_recent_portfolios_grid'. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych użytkownika.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych dla witryny i jej użytkowników. Zagrożenie to wymaga uwagi administratorów stron korzystających z tej wtyczki.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki auxinportfolio u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji korzystających z podatnego shortcode'u.

Źródła

• NVD
• Reference
• Reference
• Reference