CVE-2024-3245: podatność Stored XSS w wtyczce EmbedPress dla WordPress

Co wiadomo

Wtyczka EmbedPress do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) w bloku YouTube, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych w wersjach do 3.9.14 włącznie.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonają się u innych użytkowników odwiedzających zainfekowane strony. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla reputacji i bezpieczeństwa witryny. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa swoich stron.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki EmbedPress u dostawcy i jej wdrożenie. W międzyczasie ogranicz dostęp do edycji stron użytkownikom o uprawnieniach współtwórcy i wyższych oraz monitoruj logi pod kątem podejrzanych działań. Przeprowadź przegląd istniejących treści pod kątem potencjalnych złośliwych skryptów i rozważ wdrożenie dodatkowych mechanizmów filtrowania i sanitacji danych wejściowych.

Źródła

• NVD
• Reference
• Reference