Analityczne wykorzystywanie plików cookies
CVE-2024-4439: podatność WordPress na przechowywany XSS w blokach awatarów
WordPress do wersji 6.5.2 ma podatność XSS w blokach awatarów, umożliwiającą wstrzykiwanie złośliwych skryptów przez użytkowników i anonimowych atakujących.
- CVSS
- 7.2 HIGH
- EPSS
- 99.33%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- wordpress
Co wiadomo
WordPress Core do wersji 6.5.2 jest podatny na przechowywany Cross-Site Scripting (XSS) poprzez nazwy użytkowników wyświetlane w bloku awatarów. Atakujący z uprawnieniami co najmniej współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu zainfekowanej strony, a także nieautoryzowani użytkownicy mogą to zrobić w komentarzach z awatarami.
Wpływ biznesowy
Ta luka umożliwia atakującym wykonywanie złośliwego kodu w kontekście przeglądarki użytkownika, co może prowadzić do kradzieży sesji, przejęcia konta lub dalszych ataków na infrastrukturę. Organizacje korzystające z WordPressa powinny traktować tę podatność jako wysokiego ryzyka, zwłaszcza jeśli umożliwiają użytkownikom dodawanie treści lub komentarzy.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji WordPressa i ich wdrożenie. W międzyczasie ogranicz dostęp do funkcji dodawania treści tylko do zaufanych użytkowników, monitoruj logi pod kątem podejrzanej aktywności oraz rozważ tymczasowe wyłączenie bloków awatarów w komentarzach, jeśli to możliwe.