Analityczne wykorzystywanie plików cookies
CVE-2024-2867: podatność Stored XSS w wtyczce ProfilePress dla WordPress
ProfilePress do WordPress ma podatność Stored XSS w wersjach do 4.15.4. Sprawdź zalecenia bezpieczeństwa i aktualizuj wtyczkę.
- CVSS
- 6.4 MEDIUM
- EPSS
- 30.06%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- profilepress
Co wiadomo
Wtyczka ProfilePress do WordPress, używana do zarządzania członkostwem i profilami użytkowników, jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'title' w wersjach do 4.15.4 włącznie. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanej strony.
Wpływ biznesowy
Podatność umożliwia uwierzytelnionym użytkownikom z dostępem współtwórcy lub wyższym wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji, kradzieży danych lub innych działań szkodliwych dla użytkowników i administratorów. Może to narazić infrastrukturę na ryzyko naruszenia bezpieczeństwa i utraty zaufania klientów.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki ProfilePress i jej instalację. W przypadku braku natychmiastowej poprawki należy ograniczyć uprawnienia użytkowników do minimum niezbędnego oraz monitorować logi pod kątem podejrzanych aktywności. Warto również przeprowadzić audyt bezpieczeństwa i rozważyć zastosowanie dodatkowych mechanizmów ochrony przed XSS.