CVE-2024-2458: podatność Stored XSS w wtyczce Powerkit dla WordPress

Co wiadomo

Wtyczka Powerkit – Supercharge your WordPress Site do wersji 2.9.1 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w obsłudze shortcode'ów, wynikającą z niewystarczającej sanitizacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników witryny, co zagraża bezpieczeństwu danych i integralności serwisu. Operatorzy stron WordPress korzystających z Powerkit powinni traktować tę lukę jako istotne ryzyko, zwłaszcza jeśli mają wielu użytkowników z uprawnieniami edycyjnymi. Wykorzystanie tej podatności może skutkować utratą zaufania klientów i potencjalnymi naruszeniami danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Powerkit u dostawcy i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy oraz monitorować logi serwera pod kątem podejrzanych aktywności. Przegląd i oczyszczenie istniejących treści pod kątem wstrzykniętych skryptów również jest wskazane.

Źródła

• NVD
• Reference
• Reference