CVE-2024-1766: podatność XSS w wtyczce Download Manager dla WordPress

Co wiadomo

Wtyczka Download Manager dla WordPress do wersji 3.2.86 włącznie zawiera podatność na przechowywany Cross-Site Scripting (XSS) poprzez pole nazwy wyświetlanej użytkownika. Atakujący z uprawnieniami subskrybenta lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może umożliwić atakującym wykonanie złośliwego kodu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji lub innych działań na koncie użytkownika. Wymaga to jednak, aby ofiara zalogowała się i odwiedziła zmodyfikowaną stronę, co ogranicza ryzyko. Administratorzy powinni traktować tę lukę jako średniego ryzyka i odpowiednio ją monitorować.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Download Manager u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz edukować użytkowników w zakresie unikania podejrzanych linków i stron.

Źródła

• NVD
• Reference
• Reference