CVE-2024-2304: Stored Cross-Site Scripting w wtyczce Animated Headline dla WordPress

Co wiadomo

Wtyczka Animated Headline dla WordPress do wersji 4.0 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'animated-headline'. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej na poziomie współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach WordPress, co może prowadzić do przejęcia sesji użytkowników, defacementu strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa firmy. Wpływa to na integralność i zaufanie do serwisu internetowego.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Animated Headline i ich wdrożenie. W przypadku braku łatki, ogranicz uprawnienia użytkowników do niezbędnego minimum, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ tymczasowe wyłączenie wtyczki. Przeprowadź przegląd i weryfikację zabezpieczeń aplikacji oraz edukuj użytkowników o zasadach bezpiecznego korzystania z systemu.

Źródła

• NVD
• Reference
• Reference