CVE-2024-3919: luka XSS w wtyczce OpenPGP Form Encryption dla WordPress

Co wiadomo

Wtyczka OpenPGP Form Encryption dla WordPress w wersjach przed 1.5.1 nieprawidłowo waliduje i nie zabezpiecza niektórych atrybutów shortcode przed ich wyświetleniem, co umożliwia użytkownikom z rolą współpracownika i wyższą przeprowadzenie ataków typu Stored Cross-Site Scripting (XSS).

Wpływ biznesowy

Luka ta może pozwolić na wstrzyknięcie złośliwego kodu JavaScript przez użytkowników z uprawnieniami współpracownika i wyższymi, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i właścicieli serwisu. Atakujący mogą wykorzystać tę podatność do eskalacji zagrożeń w środowisku WordPress, wpływając na integralność i bezpieczeństwo witryny.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie wtyczki OpenPGP Form Encryption do wersji 1.5.1 lub nowszej, w której luka została załatana. W przypadku braku możliwości aktualizacji, należy ograniczyć uprawnienia użytkowników do minimum oraz monitorować logi pod kątem podejrzanej aktywności. Dodatkowo warto przeprowadzić przegląd i weryfikację używanych shortcode'ów oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference