CVE-2024-1987: podatność Stored Cross-Site Scripting w wtyczce WP-Members

Co wiadomo

Wtyczka WP-Members dla WordPressa do wersji 3.4.9.1 zawiera podatność typu Stored Cross-Site Scripting (XSS) wynikającą z niewystarczającej sanitacji i ucieczki danych w atrybutach shortcode. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Podatność może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący mogą wykraść sesje, przeprowadzić phishing lub inne ataki skierowane do użytkowników. Operatorzy stron opartych na WordPress z tą wtyczką powinni traktować problem poważnie, zwłaszcza jeśli mają wielu współtwórców lub użytkowników z podwyższonymi uprawnieniami.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP-Members u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Regularna weryfikacja i audyt wtyczek jest kluczowa dla bezpieczeństwa środowiska WordPress.

Źródła

• NVD
• Reference
• Reference