Analityczne wykorzystywanie plików cookies
CVE-2024-3814: podatność Stored XSS w wtyczce tagDiv Composer dla WordPress
Podatność Stored XSS w wtyczce tagDiv Composer do WordPress umożliwia atakującym z uprawnieniami autora wstrzyknięcie złośliwych skryptów. Zalecane aktualizacje i ograniczenia uprawnień.
- CVSS
- 5.5 MEDIUM
- EPSS
- 20.06%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- tagdiv composer
Co wiadomo
Wtyczka tagDiv Composer dla WordPress do wersji 4.8 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) w module 'single' z powodu niewystarczającej sanitacji i ucieczki danych wejściowych. Umożliwia to atakującym z uprawnieniami autora lub wyższymi wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zmodyfikowanej strony.
Wpływ biznesowy
Podatność ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności witryny. Atakujący z uprawnieniami autora mogą wykorzystać lukę do eskalacji ataku, wpływając na doświadczenie użytkowników i reputację firmy. Operatorzy powinni traktować tę lukę jako średniego ryzyka, zwłaszcza w środowiskach z wieloma użytkownikami posiadającymi uprawnienia do edycji treści.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki tagDiv Composer i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić przegląd i oczyszczenie istniejących treści pod kątem złośliwych skryptów. Priorytetowo traktuj wdrożenie poprawek i edukację użytkowników o ryzyku XSS.