Analityczne wykorzystywanie plików cookies
CVE-2024-1519: podatność Stored Cross-Site Scripting w wtyczce ProfilePress dla WordPress
Podatność Stored XSS w wtyczce ProfilePress do WordPress umożliwia ataki poprzez parametr 'name'. Zalecane jest szybkie zastosowanie aktualizacji i monitorowanie systemu.
- CVSS
- 6.5 MEDIUM
- EPSS
- 43.88%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- profilepress
Co wiadomo
Wtyczka ProfilePress do WordPress, używana do zarządzania członkostwem i profilami użytkowników, jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'name' we wszystkich wersjach do 4.14.4 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, co pozwala nieautoryzowanym atakującym na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Podatność umożliwia atakującym wstrzyknięcie i wykonanie złośliwego kodu JavaScript w kontekście przeglądarki użytkownika odwiedzającego stronę z aktywną listą członków korzystającą z motywu Gerbera. Może to prowadzić do kradzieży sesji, przejęcia konta lub innych działań naruszających bezpieczeństwo użytkowników i integralność serwisu. Operatorzy stron powinni traktować tę lukę jako średniego ryzyka, szczególnie jeśli korzystają z wymienionych funkcji i motywu.
Rekomendowane działania administratora
Administratorzy powinni niezwłocznie sprawdzić dostępność aktualizacji wtyczki ProfilePress i zastosować je, jeśli są dostępne. W przypadku braku łatki zaleca się ograniczenie dostępu do stron z listą członków, monitorowanie logów pod kątem podejrzanych aktywności oraz przegląd konfiguracji motywu Gerbera. Warto również edukować użytkowników na temat potencjalnych zagrożeń XSS i stosować dodatkowe warstwy zabezpieczeń, takie jak Content Security Policy (CSP).