Analityczne wykorzystywanie plików cookies
CVE-2024-2031: podatność Stored XSS w wtyczce Video Conferencing with Zoom dla WordPress
Podatność Stored XSS w wtyczce Video Conferencing with Zoom dla WordPress do wersji 4.4.4 umożliwia atakującym wstrzyknięcie złośliwych skryptów. Zalecane aktualizacje i ograniczenia uprawnień.
- CVSS
- 6.4 MEDIUM
- EPSS
- 24.39%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- video conferencing with zoom
Co wiadomo
Wtyczka Video Conferencing with Zoom dla WordPress do wersji 4.4.4 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'zoom_recordings_by_meeting'. Niewystarczająca sanitacja i ucieczka danych wejściowych pozwala uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów, które wykonują się podczas przeglądania strony.
Wpływ biznesowy
Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie i wykonanie złośliwego kodu JavaScript w kontekście strony, co może prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych, zwłaszcza w środowiskach z wieloma użytkownikami WordPress.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Video Conferencing with Zoom i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode 'zoom_recordings_by_meeting' lub całej wtyczki. Priorytetowo traktuj przegląd i zabezpieczenie środowiska WordPress.