CVE-2024-1535: podatność Stored XSS w wtyczce ProfilePress dla WordPress

Co wiadomo

Wtyczka ProfilePress do WordPress, używana do zarządzania członkostwem i profilami użytkowników, jest podatna na atak typu Stored Cross-Site Scripting (XSS) w wersjach do 4.15.2 włącznie. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych w atrybutach shortcode, co pozwala użytkownikom z uprawnieniami co najmniej na poziomie współpracownika na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami współpracownika lub wyższymi mogą wstrzyknąć złośliwy kod JavaScript, który zostanie wykonany przez innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji danymi lub innych działań naruszających bezpieczeństwo witryny i jej użytkowników. Właściciele stron powinni zwrócić uwagę na potencjalne ryzyko związane z tą luką, szczególnie w środowiskach z wieloma użytkownikami o różnym poziomie uprawnień.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki ProfilePress i jej instalację, jeśli jest dostępna. W przypadku braku natychmiastowej poprawki, warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji shortcode w wtyczce. Regularne przeglądy i audyty bezpieczeństwa pomogą zminimalizować ryzyko wykorzystania tej podatności.

Źródła

• NVD
• Reference
• Reference
• Reference