CVE-2024-3111: luka wtyczki h5p umożliwiająca ataki XSS

Co wiadomo

Wtyczka Interactive Content dla WordPress w wersjach przed 1.15.8 nie weryfikuje poprawnie przesyłanych plików SVG, co pozwala użytkownikom z uprawnieniami Contributora i wyższymi na wgranie złośliwych plików SVG. Może to prowadzić do ataków typu Stored Cross-Site Scripting (XSS).

Wpływ biznesowy

Luka ta może zostać wykorzystana do wstrzyknięcia złośliwego kodu JavaScript, co zagraża bezpieczeństwu użytkowników i integralności serwisu. Ataki XSS mogą skutkować przejęciem sesji, defacementem strony lub innymi nieautoryzowanymi działaniami. Operatorzy stron korzystających z tej wtyczki powinni potraktować tę lukę jako średniego ryzyka, zwłaszcza jeśli umożliwiają edycję treści przez wielu użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki h5p do wersji 1.15.8 lub nowszej, w której problem został załatany. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników do przesyłania plików SVG oraz monitorować logi serwera pod kątem podejrzanej aktywności. Regularne przeglądy i audyty bezpieczeństwa pomogą zminimalizować ryzyko wykorzystania tej luki.

Źródła

• NVD
• Reference