CVE-2024-4470: podatność Stored XSS w wtyczce Master Slider dla WordPress

Co wiadomo

Wtyczka Master Slider – Responsive Touch Slider dla WordPress do wersji 3.9.9 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez shortcode 'ms_slide_info'. Luka wynika z niewystarczającej sanitizacji i escapingu atrybutu 'tag_name', co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy lub wyższym mogą wstrzykiwać i wykonywać złośliwe skrypty w kontekście strony, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub dalszych ataków na użytkowników. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Master Slider u dostawcy oraz ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie funkcji korzystających z shortcode 'ms_slide_info'.

Źródła

• NVD
• Reference
• Reference
• Reference