CVE-2024-3208: podatność Stored XSS w wtyczce Sydney Toolbox dla WordPress

Co wiadomo

Wtyczka Sydney Toolbox dla WordPress do wersji 1.28 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w widżecie Filterable Gallery. Problem wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej współtwórcy.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem na poziomie współtwórcy wstrzyknięcie i wykonanie złośliwych skryptów w kontekście przeglądarki innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub dalszych ataków na użytkowników i infrastrukturę. Operatorzy stron opartych na WordPress powinni zweryfikować użycie tej wtyczki i podjąć działania ograniczające ryzyko.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Sydney Toolbox u dostawcy oraz jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie widżetu Filterable Gallery. Dodatkowo warto przeprowadzić audyt bezpieczeństwa i edukować użytkowników o ryzyku XSS.

Źródła

• NVD
• Reference
• Reference