Analityczne wykorzystywanie plików cookies
CVE-2024-3974: podatność Stored XSS w wtyczce BuddyPress
Podatność Stored XSS w wtyczce BuddyPress do WordPress umożliwia ataki przez parametr 'user_name'. Sprawdź zalecenia bezpieczeństwa i aktualizacje.
- CVSS
- 6.4 MEDIUM
- EPSS
- 35.92%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- buddypress
Co wiadomo
Wtyczka BuddyPress dla WordPress do wersji 12.4.0 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez parametr 'user_name'. Atakujący z uprawnieniami subskrybenta lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Podatność umożliwia uwierzytelnionym użytkownikom z ograniczonymi uprawnieniami wstrzyknięcie i wykonanie złośliwego kodu JavaScript na stronach serwisu, co może prowadzić do przejęcia sesji, kradzieży danych lub dalszych ataków na użytkowników i infrastrukturę. Operatorzy stron korzystających z BuddyPress powinni traktować tę lukę jako istotne ryzyko dla bezpieczeństwa aplikacji i danych użytkowników.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki BuddyPress i ich wdrożenie. W przypadku braku natychmiastowej poprawki należy ograniczyć uprawnienia użytkowników, monitorować logi pod kątem podejrzanej aktywności oraz stosować mechanizmy filtrowania i sanitizacji danych wejściowych. Priorytetowo należy przeprowadzić audyt bezpieczeństwa i edukację użytkowników o potencjalnych zagrożeniach.