CVE-2024-4001: podatność Stored XSS w wtyczce Download Manager dla WordPress

Co wiadomo

Wtyczka Download Manager dla WordPress do wersji 3.2.93 włącznie zawiera podatność Stored Cross-Site Scripting (XSS) w shortcode 'wpdm_modal_login_form' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych wykonywanych w kontekście przeglądarki ofiary. W środowiskach korzystających z tej wtyczki, zwłaszcza z wieloma użytkownikami o podwyższonych uprawnieniach, ryzyko naruszenia bezpieczeństwa i reputacji jest istotne. Atakujący mogą wykorzystać tę lukę do eskalacji uprawnień lub rozprzestrzeniania złośliwego kodu.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Download Manager u jej dostawcy oraz ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS. Priorytetem jest szybka reakcja i weryfikacja środowiska pod kątem potencjalnych incydentów.

Źródła

• NVD
• Reference
• Reference