Analityczne wykorzystywanie plików cookies
CVE-2024-1450: podatność Stored Cross-Site Scripting w wtyczce Shariff Wrapper dla WordPress
Podatność XSS w wtyczce Shariff Wrapper do WordPress umożliwia atakującym wstrzyknięcie złośliwych skryptów. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 40.22%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- shariff wrapper
Co wiadomo
Wtyczka Shariff Wrapper dla WordPress do wersji 4.6.10 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'shariff'. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych w atrybutach użytkownika, takich jak 'align'. Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność ta umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. W środowiskach WordPress z wieloma użytkownikami i rozbudowanymi uprawnieniami ryzyko jest szczególnie istotne, zwłaszcza jeśli wtyczka jest aktywnie używana.
Rekomendowane działania administratora
Administratorzy powinni jak najszybciej zweryfikować dostępność aktualizacji wtyczki Shariff Wrapper i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie uprawnień użytkowników do niezbędnego minimum, przegląd logów pod kątem podejrzanej aktywności oraz monitorowanie stron pod kątem nieautoryzowanych zmian. Warto również rozważyć tymczasowe wyłączenie wtyczki do czasu usunięcia problemu.