Błąd Persistent XSS w motywie Basil dla WordPress (CVE-2024-39310)

Co wiadomo

Motyw Basil dla WordPress w wersjach do 2.0.4 włącznie jest podatny na trwały Cross-Site Scripting (XSS) poprzez parametr post_title. Atak wymaga uprawnień co najmniej na poziomie współtwórcy i pozwala na wstrzyknięcie złośliwych skryptów, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami współtwórcy lub wyższymi wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, defraudacji danych lub dalszych ataków na infrastrukturę. W środowiskach korzystających z motywu Basil i wtyczki Cooked istnieje podwyższone ryzyko wykorzystania tej luki, co może wpłynąć na bezpieczeństwo i reputację serwisu.

Rekomendowane działania administratora

Zaleca się niezwłoczne zaktualizowanie motywu Basil do wersji 2.0.5 lub nowszej, która zawiera poprawkę usuwającą podatność. W przypadku braku możliwości aktualizacji należy ograniczyć uprawnienia użytkowników oraz monitorować logi pod kątem podejrzanej aktywności. Warto również przejrzeć konfigurację wtyczki Cooked i rozważyć jej tymczasowe wyłączenie do czasu wdrożenia poprawki.

Źródła

• NVD
• Reference
• Reference