CVE-2024-4339: podatność Stored XSS w wtyczce Prime Slider dla WordPress

Co wiadomo

Wtyczka Prime Slider – Addons For Elementor do WordPressa jest podatna na atak Stored Cross-Site Scripting (XSS) poprzez widget General w wersjach do 3.14.3 włącznie. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony.

Wpływ biznesowy

Podatność umożliwia atakującym z dostępem współtwórcy lub wyższym wstrzyknięcie złośliwego kodu JavaScript, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub innych działań szkodliwych dla witryny i jej użytkowników. Operatorzy stron korzystających z tej wtyczki powinni traktować tę lukę poważnie, zwłaszcza w środowiskach z wieloma użytkownikami o różnym poziomie uprawnień.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Prime Slider u dostawcy oraz jej instalację. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, przejrzeć logi pod kątem podejrzanych działań oraz monitorować strony pod kątem nieautoryzowanych zmian. Wdrożenie mechanizmów filtrowania i sanitizacji danych wejściowych może dodatkowo zmniejszyć ryzyko.

Źródła

• NVD
• Reference
• Reference