Analityczne wykorzystywanie plików cookies
CVE-2024-3587: podatność Stored XSS w wtyczce auxinportfolio dla WordPress
Podatność Stored XSS w wtyczce auxinportfolio dla WordPress umożliwia ataki przez wstrzyknięcie skryptów. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 6.4 MEDIUM
- EPSS
- 30.26%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- auxinportfolio
Co wiadomo
Wtyczka Premium Portfolio Features dla motywu Phlox w WordPress (do wersji 2.3.2 włącznie) jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez widget Grid Portfolios. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron.
Wpływ biznesowy
Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i administratorów. Może to wpłynąć na reputację firmy oraz bezpieczeństwo danych klientów korzystających ze stron opartych na tej wtyczce.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki auxinportfolio i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, przejrzeć logi pod kątem podejrzanej aktywności oraz monitorować strony pod kątem nieautoryzowanych zmian. Warto również rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.