CVE-2024-1988: podatność Stored XSS w wtyczce Post Grid dla WordPress

Co wiadomo

Wtyczka Post Grid oraz powiązane wtyczki dla WordPress do wersji 2.2.80 zawierają podatność typu Stored Cross-Site Scripting (XSS) w atrybucie 'tag' bloków. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność może prowadzić do wykonania nieautoryzowanego kodu JavaScript w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i sesji. Atakujący mogą wykorzystać ją do kradzieży danych uwierzytelniających, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania. W środowiskach WordPress z wieloma użytkownikami i różnymi poziomami dostępu ryzyko jest szczególnie istotne.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Post Grid i jej komponentów u dostawcy. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Warto również przeprowadzić audyt bezpieczeństwa i edukować użytkowników o zagrożeniach XSS.

Źródła

• NVD
• Reference
• Reference