CVE-2024-2936: podatność Stored Cross-Site Scripting w wtyczce Sydney Toolbox dla WordPress

Co wiadomo

Wtyczka Sydney Toolbox dla WordPress do wersji 1.26 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez atrybut _id widgetów, wynikający z niewystarczającej sanitacji i ucieczki danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący mogą przejąć sesje użytkowników lub wprowadzić nieautoryzowane zmiany. Operatorzy stron opartych na WordPress powinni traktować tę lukę jako istotne ryzyko, zwłaszcza jeśli korzystają z wtyczki Sydney Toolbox.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Sydney Toolbox u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy oraz monitorować logi serwera pod kątem podejrzanych aktywności. Wdrożenie mechanizmów filtrowania i walidacji danych wejściowych również może pomóc w ograniczeniu ryzyka.

Źródła

• NVD
• Reference
• Reference