CVE-2024-3558: podatność Stored XSS w wtyczce Custom Field Suite dla WordPress

Co wiadomo

Wtyczka Custom Field Suite dla WordPress w wersjach do 2.6.7 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr 'cfs[post_title]'. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem na poziomie współtwórcy lub wyższym wstrzykiwanie złośliwego kodu, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla integralności i bezpieczeństwa serwisu. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę jako istotne ryzyko dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Custom Field Suite i jej instalację. W przypadku braku natychmiastowej łatki, warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz monitorować strony pod kątem nieautoryzowanych zmian. Regularne audyty bezpieczeństwa i stosowanie zasad minimalnych uprawnień pomogą ograniczyć ryzyko wykorzystania tej podatności.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference