Analityczne wykorzystywanie plików cookies
CVE-2024-2194: WP Statistics narażony na atak Stored Cross-Site Scripting (XSS)
Wtyczka WP Statistics do WordPressa ma lukę XSS umożliwiającą ataki przez parametr URL. Sprawdź zalecenia bezpieczeństwa i aktualizuj wtyczkę.
- CVSS
- 7.2 HIGH
- EPSS
- 99.24%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka WP Statistics dla WordPressa do wersji 14.5 włącznie posiada lukę Stored Cross-Site Scripting poprzez parametr URL 'search'. Brak odpowiedniej sanitizacji i ucieczki danych umożliwia nieautoryzowanym atakującym wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Atakujący mogą wykorzystać tę lukę do wstrzyknięcia i wykonania złośliwego kodu JavaScript w przeglądarce użytkowników, co może prowadzić do kradzieży danych sesji, przejęcia konta lub innych działań szkodliwych dla użytkowników i właścicieli stron. Zagrożenie jest szczególnie istotne dla administratorów stron opartych na WordPress z zainstalowaną wtyczką WP Statistics, którzy powinni niezwłocznie podjąć działania minimalizujące ryzyko.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP Statistics i jej instalację. W przypadku braku natychmiastowej aktualizacji, warto ograniczyć dostęp do parametrów URL, monitorować logi pod kątem podejrzanych żądań oraz rozważyć tymczasowe wyłączenie wtyczki. Dodatkowo, należy edukować użytkowników i administratorów o ryzyku XSS oraz stosować ogólne praktyki bezpieczeństwa CMS.