CVE-2024-2324: podatność Stored XSS w wtyczce FileOrganizer dla WordPress

Co wiadomo

Wtyczka FileOrganizer do zarządzania plikami w WordPressie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez przesyłanie plików SVG w wersjach do 1.0.6 włącznie. Atakujący z uprawnieniami administratora (w wersji darmowej) lub nawet niższymi (w wersji pro, jeśli funkcja jest włączona) mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach WordPress z wieloma użytkownikami lub klientami może to skutkować utratą zaufania i naruszeniem bezpieczeństwa danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki FileOrganizer i ich zastosowanie. W przypadku braku łatki należy ograniczyć możliwość przesyłania plików SVG do zaufanych użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Warto również rozważyć tymczasowe wyłączenie funkcji przesyłania plików SVG, jeśli nie jest niezbędna.

Źródła

• NVD
• Reference
• Reference