CVE-2024-1810: podatność Reflected Cross-Site Scripting w wtyczce Archivist dla WordPress

Co wiadomo

Wtyczka Archivist – Custom Archive Templates dla WordPress do wersji 1.7.5 włącznie jest podatna na atak Reflected Cross-Site Scripting (XSS) poprzez parametr 'shortcode_attributes' z powodu niewystarczającej sanitacji danych wejściowych i braku odpowiedniego escapingu wyjścia. Atakujący mogą w ten sposób wstrzykiwać złośliwe skrypty, które wykonują się po nakłonieniu użytkownika do kliknięcia w spreparowany link.

Wpływ biznesowy

Podatność ta może umożliwić nieautoryzowanym osobom wykonanie złośliwych skryptów w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Archivist u jej dostawcy i wdrożenie najnowszej wersji zawierającej poprawkę. W przypadku braku natychmiastowej aktualizacji warto ograniczyć ekspozycję podatnego parametru, monitorować logi pod kątem podejrzanych aktywności oraz edukować użytkowników w zakresie unikania klikania nieznanych linków. Priorytetem jest szybka reakcja i minimalizacja ryzyka wykorzystania luki.

Źródła

• NVD
• Reference
• Reference