Analityczne wykorzystywanie plików cookies
CVE-2024-2336: luka XSS w wtyczce Popup Maker dla WordPress
Luka Stored XSS w wtyczce Popup Maker do WordPress umożliwia atakującym wstrzyknięcie złośliwych skryptów. Sprawdź zalecenia bezpieczeństwa i aktualizuj wtyczkę.
- CVSS
- 6.4 MEDIUM
- EPSS
- 26.47%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- popup maker
Co wiadomo
Wtyczka Popup Maker dla WordPress do wersji 1.18.2 zawiera lukę typu Stored Cross-Site Scripting (XSS) wynikającą z niewystarczającej sanitacji i escapingu atrybutów użytkownika w shortcode'ach. Umożliwia to atakującym z uprawnieniami co najmniej współpracownika wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Luka pozwala na wykonanie złośliwego kodu w przeglądarce użytkowników odwiedzających strony z wstrzykniętymi popupami, co może prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych ataków skierowanych na użytkowników. Operatorzy stron opartych na WordPress powinni zweryfikować obecność tej wtyczki i jej wersji, aby ograniczyć ryzyko naruszeń bezpieczeństwa i utraty zaufania klientów.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie wersji wtyczki Popup Maker i aktualizację do najnowszej dostępnej wersji pochodzącej od dostawcy. W przypadku braku dostępnej poprawki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki. Regularne przeglądy i testy bezpieczeństwa pomogą w szybkim wykrywaniu podobnych zagrożeń.