CVE-2024-2506: Luka XSS w wtyczce Popup Builder dla WordPress

Co wiadomo

Wtyczka Popup Builder do WordPressa w wersjach do 4.2.7 włącznie jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez funkcję niestandardowego JS. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala atakującym z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub dalszych ataków na użytkowników. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji i danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Popup Builder i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji niestandardowego JS. Regularna weryfikacja i audyt wtyczek WordPress jest kluczowa dla minimalizacji ryzyka.

Źródła

• NVD
• Reference
• Reference