CVE-2024-1759: podatność Stored XSS w wtyczce WP ULike do WordPress

Co wiadomo

Wtyczka WP ULike – Most Advanced WordPress Marketing Toolkit do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez nazwę wyświetlaną użytkownika w wersjach do 4.6.9 włącznie. Luka wynika z niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami subskrybenta i wyższymi.

Wpływ biznesowy

Atakujący z dostępem subskrybenta lub wyższym mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa swoich stron WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki WP ULike i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Dodatkowo warto przeprowadzić przegląd i oczyszczenie danych użytkowników, zwłaszcza nazw wyświetlanych, aby usunąć potencjalne złośliwe skrypty.

Źródła

• NVD
• Reference
• Reference