CVE-2024-3550: podatność Stored Cross-Site Scripting w wtyczce Shortcodes Ultimate dla WordPress

Co wiadomo

Wtyczka Shortcodes Ultimate dla WordPress do wersji 7.1.2 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) z powodu niewystarczającej sanitizacji i ucieczki danych wejściowych w atrybutach shortcode'ów. Umożliwia to atakującym z uprawnieniami co najmniej na poziomie współpracownika wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkowników odwiedzających strony z wstrzykniętymi shortcode'ami, co może skutkować kradzieżą danych sesji, przejęciem konta lub innymi atakami na użytkowników. Właściciele serwisów opartych na WordPress powinni zwrócić uwagę na potencjalne ryzyko związane z uprawnieniami użytkowników oraz bezpieczeństwo treści generowanych przez wtyczkę.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Shortcodes Ultimate u jej dostawcy oraz ich instalację. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie wtyczki, jeśli to możliwe. Regularne przeglądy i audyty bezpieczeństwa wtyczek WordPress są kluczowe dla minimalizacji ryzyka.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference