Analityczne wykorzystywanie plików cookies
CVE-2024-2861: podatność Stored Cross-Site Scripting w wtyczce ProfilePress dla WordPress
Podatność Stored XSS w ProfilePress do wersji 4.15.8 umożliwia ataki przez wstrzyknięcie skryptów. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 6.4 MEDIUM
- EPSS
- 20.9%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- profilepress
Co wiadomo
Wtyczka ProfilePress dla WordPress do wersji 4.15.8 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) w widżecie Panelu Użytkownika ProfilePress, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący mogą wykraść sesje, manipulować zawartością strony lub przeprowadzać inne ataki skierowane na użytkowników i administratorów. Operatorzy stron opartych na WordPress powinni traktować tę lukę jako istotne zagrożenie, zwłaszcza jeśli korzystają z wtyczki ProfilePress.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki ProfilePress i jej instalację. W przypadku braku natychmiastowej łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie widżetu Panelu Użytkownika. Regularne przeglądy zabezpieczeń i edukacja użytkowników zwiększą odporność na tego typu ataki.