CVE-2024-4375: Luka XSS w wtyczce Master Slider dla WordPress

Co wiadomo

Wtyczka Master Slider – Responsive Touch Slider dla WordPress do wersji 3.9.10 włącznie zawiera lukę typu Stored Cross-Site Scripting (XSS) w atrybucie 'css_id' shortcode 'ms_layer'. Luka pozwala uwierzytelnionym użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Atakujący z odpowiednimi uprawnieniami mogą wykorzystać lukę do wstrzyknięcia i wykonania złośliwego kodu JavaScript na stronach WordPress, co może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub dalszych ataków na infrastrukturę. Właściciele stron i administratorzy powinni zwrócić uwagę na potencjalne ryzyko dla bezpieczeństwa i integralności witryny oraz danych użytkowników.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Master Slider u dostawcy i ich wdrożenie. W międzyczasie ogranicz dostęp do panelu WordPress do zaufanych użytkowników oraz monitoruj logi serwera pod kątem podejrzanej aktywności. Rozważ przegląd i oczyszczenie istniejących treści pod kątem złośliwych skryptów oraz edukację użytkowników o zasadach bezpiecznego korzystania z uprawnień.

Źródła

• NVD
• Reference
• Reference
• Reference