CVE-2024-4277: podatność Stored Cross-Site Scripting w wtyczce LearnPress dla WordPress

Co wiadomo

Wtyczka LearnPress dla WordPress do wersji 4.2.6.5 jest podatna na atak Stored Cross-Site Scripting poprzez parametr 'layout_html' z powodu niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Podatność ta może prowadzić do wykonania złośliwego kodu w kontekście przeglądarki użytkownika, co zagraża bezpieczeństwu danych i integralności platformy e-learningowej. Atakujący mogą wykorzystać lukę do kradzieży sesji, manipulacji treścią lub dalszych ataków na użytkowników i system. Operatorzy powinni traktować tę lukę jako istotne ryzyko dla bezpieczeństwa witryny i użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki LearnPress u dostawcy i ich wdrożenie. W międzyczasie ogranicz dostęp do panelu edycji treści do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanych działań. Przeprowadź przegląd uprawnień użytkowników i rozważ wdrożenie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference