Analityczne wykorzystywanie plików cookies
CVE-2024-2697: luka XSS w wtyczce socialdriver-framework dla WordPress
Luka XSS w socialdriver-framework WordPress umożliwia ataki przez użytkowników z niskimi uprawnieniami. Zalecana aktualizacja wtyczki.
- CVSS
- 6.5 MEDIUM
- EPSS
- 25.63%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- swift framework
Co wiadomo
Wtyczka socialdriver-framework dla WordPress w wersjach przed 2024.0.0 nie waliduje i nie oczyszcza niektórych atrybutów shortcode przed ich wyświetleniem, co umożliwia użytkownikom z rolą co najmniej współpracownika przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS).
Wpływ biznesowy
Luka pozwala na wykonanie trwałych ataków XSS przez użytkowników o niskich uprawnieniach, co może prowadzić do przejęcia sesji lub działań na kontach użytkowników o wyższych uprawnieniach, takich jak administratorzy. Może to skutkować poważnymi naruszeniami bezpieczeństwa i utratą kontroli nad stroną WordPress.
Rekomendowane działania administratora
Zaleca się jak najszybsze zaktualizowanie wtyczki socialdriver-framework do wersji 2024.0.0 lub nowszej udostępnionej przez producenta. W międzyczasie warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Przegląd i weryfikacja używanych shortcode'ów może pomóc w ograniczeniu ryzyka.