CVE-2024-3929: podatność XSS w wtyczce Content Views dla WordPress

Co wiadomo

Wtyczka Content Views – Post Grid & Filter, Recent Posts, Category Posts & More dla WordPress ma lukę typu Stored Cross-Site Scripting w bloku Widget Post Overlay we wszystkich wersjach do 3.7.0 włącznie. Luka wynika z niewystarczającej sanitacji i ucieczki danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży danych sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie wymaga uwagi administratorów stron opartych na WordPress z zainstalowaną tą wtyczką.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Content Views i jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie podatnego bloku Widget Post Overlay. Regularne przeglądy bezpieczeństwa i stosowanie zasad minimalnych uprawnień pomogą zredukować ryzyko.

Źródła

• NVD
• Reference
• Reference