CVE-2024-4045: podatność Stored XSS w wtyczce OptinMonster dla WordPress

Co wiadomo

Wtyczka Popup Builder by OptinMonster dla WordPress do tworzenia popupów jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez parametr 'campaign_id' w wersjach do 2.16.1 włącznie. Luka wynika z niewystarczającej sanitacji i escapingu danych wejściowych, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami co najmniej na poziomie współtwórcy.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które będą wykonywane podczas odwiedzania zainfekowanych stron przez innych użytkowników. Może to prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań naruszających bezpieczeństwo i integralność serwisu WordPress. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki OptinMonster i ich zastosowanie. W przypadku braku natychmiastowej poprawki, należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, szczególnie poziomu współtwórcy i wyżej. Dodatkowo warto przeprowadzić przegląd logów pod kątem podejrzanych działań oraz monitorować zachowanie aplikacji pod kątem nietypowych skryptów. Priorytetowo należy wdrożyć środki zapobiegające XSS, takie jak poprawna sanitacja i escaping danych wejściowych.

Źródła

• NVD
• Reference
• Reference
• Reference