CVE-2024-3554: podatność Stored XSS w wtyczce All in One SEO dla WordPress

Co wiadomo

Wtyczka All in One SEO dla WordPress do wersji 4.6.0 zawiera podatność typu Stored Cross-Site Scripting (XSS) w obsłudze shortcode'ów, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z poziomem współtwórcy lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i administratorów. W środowiskach z wieloma użytkownikami lub ograniczonym nadzorem może to skutkować poważnymi naruszeniami bezpieczeństwa i utratą zaufania.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki All in One SEO i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji shortcode'ów. Regularnie przeglądaj i audytuj uprawnienia użytkowników oraz stosuj zasady minimalnych uprawnień.

Źródła

• NVD
• Reference
• Reference