Analityczne wykorzystywanie plików cookies
WP DSGVO Tools (GDPR) narażony na atak Stored Cross-Site Scripting (CVE-2024-3201)
Luka Stored XSS w WP DSGVO Tools (GDPR) do wersji 3.1.32 umożliwia atakującym z uprawnieniami współtwórcy wstrzyknięcie złośliwego kodu. Zalecane aktualizacje i ograniczenia uprawnień.
- CVSS
- 6.4 MEDIUM
- EPSS
- 18.61%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka WP DSGVO Tools (GDPR) dla WordPressa do wersji 3.1.32 włącznie zawiera lukę Stored Cross-Site Scripting w shortcode 'pp_link' z powodu niewystarczającej sanitacji i ucieczki danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Luka umożliwia atakującym z dostępem na poziomie współtwórcy lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, defraudacji danych lub innych działań szkodliwych dla witryny i jej użytkowników. Właściciele stron i operatorzy IT powinni traktować tę lukę poważnie, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie uprawnień.
Rekomendowane działania administratora
Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki WP DSGVO Tools (GDPR) i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie shortcode 'pp_link' lub wtyczki. Regularne przeglądy bezpieczeństwa i edukacja użytkowników również pomagają minimalizować ryzyko.