CVE-2024-4635: Luka XSS w wtyczce Menu Icons by ThemeIsle dla WordPress

Co wiadomo

Wtyczka Menu Icons by ThemeIsle dla WordPress do wersji 0.13.13 zawiera lukę typu Stored Cross-Site Scripting (XSS) w funkcji 'add_mime_type', wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami autora lub wyższymi wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.

Wpływ biznesowy

Luka ta może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub wykonania nieautoryzowanych działań w kontekście przeglądarki ofiary. Atakujący z uprawnieniami autora mogą wstrzykiwać złośliwe skrypty, co stanowi zagrożenie dla integralności i bezpieczeństwa witryny oraz jej użytkowników. W przypadku stron o dużym ruchu lub wrażliwych danych, konsekwencje mogą być poważne.

Rekomendowane działania administratora

Administratorzy powinni niezwłocznie zweryfikować wersję wtyczki Menu Icons by ThemeIsle i rozważyć aktualizację do najnowszej dostępnej wersji, jeśli została wydana poprawka. W przypadku braku łatki zaleca się ograniczenie uprawnień użytkowników do minimum niezbędnego oraz monitorowanie logów pod kątem podejrzanych działań. Dodatkowo warto przeprowadzić przegląd zabezpieczeń i stosować mechanizmy ochrony przed XSS, takie jak Content Security Policy.

Źródła

• NVD
• Reference
• Reference
• Reference