CVE-2024-1586: podatność XSS w wtyczce Schema & Structured Data for WP & AMP

Co wiadomo

Wtyczka Schema & Structured Data for WP & AMP dla WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez niestandardowe schematy w wersjach do 1.26 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu danych wyjściowych, co umożliwia uwierzytelnionym atakującym wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami administratora lub użytkowników z przypisanymi rolami o niższych uprawnieniach mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron. Może to prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla użytkowników i właścicieli stron opartych na WordPress. Zagrożenie wymaga uwagi ze strony operatorów CMS i właścicieli infrastruktury.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć dostęp do panelu administracyjnego tylko do zaufanych użytkowników, przejrzeć logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Priorytetem jest szybka reakcja i minimalizacja ekspozycji na atak.

Źródła

• NVD
• Reference
• Reference