Analityczne wykorzystywanie plików cookies
CVE-2024-3990: podatność Stored XSS w wtyczce HT Mega dla WordPress
Podatność Stored XSS w wtyczce HT Mega dla WordPress do wersji 2.5.0 umożliwia wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami współtwórcy.
- CVSS
- 6.4 MEDIUM
- EPSS
- 35.06%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- ht mega
Co wiadomo
Wtyczka HT Mega – Absolute Addons For Elementor dla WordPress do wersji 2.5.0 włącznie zawiera podatność typu Stored Cross-Site Scripting (XSS) w widżecie Tooltip & Popover. Problem wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.
Wpływ biznesowy
Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać i wykonywać złośliwe skrypty w kontekście strony, co może prowadzić do kradzieży sesji, manipulacji treścią lub dalszych ataków na użytkowników. W środowiskach WordPress z wieloma użytkownikami i uprawnieniami ta luka zwiększa ryzyko naruszenia integralności i bezpieczeństwa witryny.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki HT Mega u dostawcy i ich wdrożenie. W międzyczasie ogranicz dostęp do panelu WordPress tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Przeprowadź przegląd uprawnień użytkowników i rozważ ich ograniczenie do niezbędnego minimum.