CVE-2024-4553: podatność Stored XSS w wtyczce Shortcodes Ultimate dla WordPress

Co wiadomo

Wtyczka Shortcodes Ultimate dla WordPress do wersji 7.1.5 włącznie jest podatna na atak Stored Cross-Site Scripting (XSS) przez shortcode 'su_members'. Problem wynika z niewystarczającej sanitacji i ucieczki danych w atrybucie 'color', co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwego kodu.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się przy odwiedzeniu strony przez użytkownika. Może to prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wdrożenie tej wtyczki bez odpowiednich zabezpieczeń zwiększa ryzyko naruszenia bezpieczeństwa witryny WordPress.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Shortcodes Ultimate u dostawcy oraz jej instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie shortcode 'su_members'. Priorytetowo traktuj przegląd i aktualizację wtyczek WordPress, aby minimalizować ryzyko ataków XSS.

Źródła

• NVD
• Reference
• Reference
• Reference