Analityczne wykorzystywanie plików cookies
CVE-2024-4783: Stored XSS w wtyczce jQuery T(-) Countdown Widget dla WordPress
Luka Stored XSS w wtyczce jQuery T(-) Countdown Widget dla WordPress do wersji 2.3.25 umożliwia atakującym z uprawnieniami współtwórcy wstrzyknięcie złośliwych skryptów. Sprawdź zalecenia bezpieczeństwa.
- CVSS
- 6.4 MEDIUM
- EPSS
- 21.09%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- -
Co wiadomo
Wtyczka jQuery T(-) Countdown Widget dla WordPress do wersji 2.3.25 zawiera lukę Stored Cross-Site Scripting (XSS) w shortcode tminus, wynikającą z niewystarczającej sanitacji i escapingu danych wejściowych. Umożliwia to atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów, które wykonują się podczas odwiedzin zainfekowanej strony.
Wpływ biznesowy
Luka pozwala na eskalację ataków XSS, co może prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy. Administratorzy stron WordPress korzystających z tej wtyczki powinni traktować tę podatność poważnie, zwłaszcza jeśli dostęp do panelu mają użytkownicy z uprawnieniami współtwórców lub wyższymi.
Rekomendowane działania administratora
Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki u jej dostawcy i wdrożenie najnowszej wersji. W przypadku braku łatki należy ograniczyć dostęp użytkowników do poziomu niższego niż współtwórca, przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz monitorować strony pod kątem nieautoryzowanych skryptów. Warto również rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających przed XSS.