CVE-2024-2801: Luka XSS w wtyczce Shopkeeper Extender dla WordPress

Co wiadomo

Wtyczka Shopkeeper Extender dla WordPress do wersji 3.6 włącznie jest podatna na trwały Cross-Site Scripting (XSS) poprzez shortcode 'image_slide' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem na poziomie współtwórcy lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, deface'u strony lub innych działań szkodliwych dla reputacji i bezpieczeństwa serwisu. Właściciele stron WordPress korzystający z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Shopkeeper Extender i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, zweryfikować i oczyścić zawartość stron pod kątem złośliwych skryptów oraz monitorować logi pod kątem podejrzanych aktywności. Dodatkowo warto rozważyć zastosowanie mechanizmów WAF i edukację użytkowników o zasadach bezpiecznego zarządzania treścią.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference