CVE-2024-4656: podatność Stored XSS w wtyczce Import and export users and customers dla WordPress

Co wiadomo

Wtyczka Import and export users and customers dla WordPress do wersji 1.26.6.1 zawiera podatność Stored Cross-Site Scripting (XSS) wynikającą z niewystarczającej sanitacji nagłówka user agent. Atakujący z uprawnieniami administratora mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron.

Wpływ biznesowy

Podatność umożliwia atakującym z uprawnieniami administratora wstrzyknięcie i wykonanie złośliwych skryptów w panelu WordPress, co może prowadzić do przejęcia sesji, manipulacji danymi lub dalszej eskalacji ataku. Właściciele stron powinni traktować tę lukę jako istotne zagrożenie dla integralności i bezpieczeństwa CMS oraz danych użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie najnowszej wersji. W przypadku braku łatki należy ograniczyć dostęp administratorów, monitorować logi pod kątem podejrzanych aktywności oraz rozważyć tymczasowe wyłączenie wtyczki. Regularne przeglądy bezpieczeństwa i edukacja administratorów zwiększą ochronę przed podobnymi zagrożeniami.

Źródła

• NVD
• Reference
• Reference