CVE-2024-4633: Luka XSS w wtyczce Slider and Carousel slider by Depicter dla WordPress

Co wiadomo

Wtyczka Slider and Carousel slider by Depicter do WordPressa w wersjach do 3.2.1 ma lukę typu Stored Cross-Site Scripting (XSS) w funkcji 'addExtraMimeType' z powodu niewystarczającej sanitacji i ucieczki danych wejściowych. Umożliwia to atakującym z uprawnieniami autora lub wyższymi wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka XSS może prowadzić do kradzieży sesji, manipulacji zawartością strony lub innych działań szkodliwych dla użytkowników i administratorów serwisu. Atakujący z uprawnieniami autora mogą wykorzystać tę podatność do eskalacji zagrożeń w środowisku WordPress, co może wpłynąć na reputację i bezpieczeństwo witryny oraz jej użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Slider and Carousel slider by Depicter i ich instalację. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularne przeglądy bezpieczeństwa i edukacja użytkowników zwiększą odporność na tego typu ataki.

Źródła

• NVD
• Reference
• Reference
• Reference