CVE-2024-3671: podatność Stored XSS w wtyczce Print-O-Matic dla WordPress

Co wiadomo

Wtyczka Print-O-Matic dla WordPress do wersji 2.1.10 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez shortcode 'print-me'. Niewystarczająca sanitacja i eskalacja danych wejściowych umożliwia atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w przeglądarce użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący mogą wykorzystać ją do przejęcia sesji, kradzieży danych lub dalszej eskalacji uprawnień. Operatorzy stron opartych na WordPress powinni zwrócić szczególną uwagę na tę lukę, zwłaszcza jeśli korzystają z wtyczki Print-O-Matic.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Print-O-Matic i jej instalację. W przypadku braku łatki należy ograniczyć dostęp użytkownikom do poziomu niższego niż współtwórca oraz monitorować logi pod kątem podejrzanych działań. Dodatkowo warto przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem potencjalnych złośliwych skryptów.

Źródła

• NVD
• Reference
• Reference