CVE-2024-2840: Stored Cross-Site Scripting w wtyczce Enhanced Media Library dla WordPress

Co wiadomo

Wtyczka Enhanced Media Library dla WordPress do wersji 2.8.9 umożliwia atak Stored Cross-Site Scripting poprzez funkcję przesyłania plików multimedialnych, pozwalając na upload plików typu 'dfxp'. Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Atakujący z dostępem na poziomie autora mogą wykorzystać lukę do wstrzyknięcia i wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, manipulacji zawartością strony lub dalszych ataków. Właściciele stron korzystających z tej wtyczki powinni rozważyć ryzyko dla integralności i bezpieczeństwa swoich serwisów oraz użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Enhanced Media Library u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego oraz monitorować logi serwera pod kątem podejrzanych aktywności związanych z przesyłaniem plików i wykonywaniem skryptów. Wdrożenie mechanizmów filtrowania i walidacji przesyłanych plików również może pomóc w ograniczeniu ryzyka.

Źródła

• NVD
• Reference
• Reference