CVE-2024-1808: podatność Stored XSS w wtyczce Shortcodes Ultimate dla WordPress

Co wiadomo

Wtyczka Shortcodes Ultimate dla WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'su_qrcode' we wszystkich wersjach do 7.0.3 włącznie. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych dostarczanych przez użytkownika, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, który wykonuje się podczas odwiedzania zainfekowanej strony przez innych użytkowników. Może to prowadzić do kradzieży sesji, przejęcia konta lub innych działań naruszających bezpieczeństwo witryny i jej użytkowników. Właściciele stron opartych na WordPress powinni zwrócić szczególną uwagę na tę lukę, zwłaszcza jeśli korzystają z wtyczki Shortcodes Ultimate.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Shortcodes Ultimate u jej dostawcy i wdrożenie najnowszej wersji. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, przejrzeć logi pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Priorytetem jest szybka reakcja i monitorowanie środowiska pod kątem potencjalnych ataków.

Źródła

• NVD
• Reference
• Reference