Analityczne wykorzystywanie plików cookies
CVE-2024-3244: podatność Stored XSS w wtyczce EmbedPress dla WordPress
Podatność Stored XSS w wtyczce EmbedPress do WordPress umożliwia ataki przez shortcode 'embedpress_calendar'. Zalecane aktualizacje i monitorowanie.
- CVSS
- 6.4 MEDIUM
- EPSS
- 40.42%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- embedpress
Co wiadomo
Wtyczka EmbedPress do WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'embedpress_calendar' w wersjach do 3.9.14 włącznie. Luka wynika z niewystarczającej sanitizacji i ucieczki danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współpracownika na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z uprawnieniami współpracownika lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla integralności i bezpieczeństwa serwisu.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki EmbedPress u dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego oraz monitorować logi pod kątem podejrzanej aktywności. Priorytetowo traktuj przegląd i zabezpieczenie stron korzystających z shortcode 'embedpress_calendar'.