CVE-2024-1496: podatność Stored XSS w wtyczce Featured Image from URL dla WordPress

Co wiadomo

Wtyczka Featured Image from URL (FIFU) dla WordPress do wersji 4.6.2 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr fifu_input_url z powodu niewystarczającej sanitacji i ucieczki danych. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej współpracownika wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zmodyfikowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających zainfekowane strony, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący z uprawnieniami współpracownika lub wyższymi mogą wykorzystać tę lukę do eskalacji uprawnień lub kradzieży sesji. Operatorzy powinni traktować tę lukę jako istotne ryzyko dla bezpieczeństwa aplikacji webowej opartej na WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Featured Image from URL i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie mechanizmów filtrowania i sanitacji danych wejściowych. Regularne przeglądy bezpieczeństwa i audyty kodu wtyczek są wskazane.

Źródła

• NVD
• Reference
• Reference
• Reference