CVE-2024-1996: podatność Stored XSS w wtyczce Premium Addons PRO dla WordPress

Co wiadomo

Wtyczka Premium Addons PRO dla WordPress do wersji 2.9.12 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w widżecie IHover, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych poprzez wykonanie złośliwego kodu w kontekście przeglądarki ofiary. Operatorzy stron opartych na WordPress z zainstalowaną wtyczką Premium Addons PRO powinni traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa i integralności swoich serwisów.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Premium Addons PRO u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów ochrony przed XSS, takich jak Web Application Firewall (WAF).

Źródła

• NVD
• Reference
• Reference