CVE-2024-3368: podatność XSS w wtyczce All in One SEO dla WordPress

Co wiadomo

Wtyczka All in One SEO dla WordPress w wersjach przed 4.6.1.1 nieprawidłowo waliduje i nie zabezpiecza niektórych pól wpisów przed wyświetleniem, co umożliwia użytkownikom z rolą współautora lub wyższą przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS).

Wpływ biznesowy

Podatność ta może pozwolić na wstrzyknięcie złośliwego kodu JavaScript, co zagraża bezpieczeństwu witryny oraz danych użytkowników. Atakujący mogą wykorzystać ją do przejęcia sesji, deface'u strony lub rozprzestrzeniania złośliwego oprogramowania. Właściciele stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne zagrożenie dla integralności i reputacji swoich serwisów.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki All in One SEO do wersji 4.6.1.1 lub nowszej udostępnionej przez producenta. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo, należy przeprowadzić przegląd i wzmocnienie mechanizmów zabezpieczających przed XSS w środowisku WordPress.

Źródła

• NVD
• Reference