CVE-2024-1508: podatność Stored XSS w wtyczce Prime Slider dla WordPress

Co wiadomo

Wtyczka Prime Slider – Addons For Elementor dla WordPress do wersji 3.13.2 zawiera podatność Stored Cross-Site Scripting (XSS) w atrybucie 'settings["title_tags"]' widgetu Mercury. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący mogą wykorzystać ją do kradzieży sesji, manipulacji treścią lub dalszych ataków na użytkowników i infrastrukturę. Operatorzy stron powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa CMS.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Prime Slider u dostawcy i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie podatnego widgetu. Regularna weryfikacja i audyt bezpieczeństwa wtyczek jest kluczowa.

Źródła

• NVD
• Reference
• Reference