CVE-2024-2732: Luka XSS w wtyczce Themify Shortcodes dla WordPress

Co wiadomo

Wtyczka Themify Shortcodes dla WordPress do wersji 2.0.8 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w shortcode 'themify_post_slider'. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych w atrybutach dostarczanych przez użytkownika.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie współautora mogą wstrzykiwać złośliwe skrypty, które będą wykonywane podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Themify Shortcodes i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji shortcode 'themify_post_slider'.

Źródła

• NVD
• Reference
• Reference