CVE-2024-3888: podatność Stored XSS w wtyczce tagDiv Composer dla WordPress

Co wiadomo

Wtyczka tagDiv Composer dla WordPress do wersji 4.8 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode przycisku, wynikający z niewystarczającej sanitacji i escapingu danych wejściowych. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia uwierzytelnionym użytkownikom z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu, co może prowadzić do przejęcia sesji, deface'u strony lub innych działań naruszających bezpieczeństwo witryny. Wpływa to na integralność i zaufanie do serwisu, zwłaszcza gdy używany jest motyw tagDiv Newspaper, który zawiera podatny kod.

Rekomendowane działania administratora

Administratorzy powinni zweryfikować, czy używają motywu tagDiv Newspaper wraz z wtyczką tagDiv Composer w wersji do 4.8. Zaleca się aktualizację wtyczki do najnowszej wersji, jeśli dostępna, lub kontakt z dostawcą w celu uzyskania poprawek. Warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji shortcode przycisku, jeśli nie jest niezbędna.

Źródła

• NVD
• Reference
• Reference