CVE-2024-49302: Stored XSS w WordPress Portfolio Builder – Portfolio Gallery do wersji 1.1.7

Co wiadomo

Wtyczka WordPress Portfolio Builder – Portfolio Gallery (uber-grid) do wersji 1.1.7 zawiera lukę typu Stored Cross-site Scripting (XSS) z powodu niewłaściwego oczyszczania danych wejściowych podczas generowania stron. Atakujący mogą wstrzyknąć złośliwy kod, który zostanie zapisany i wykonany w przeglądarce użytkownika.

Wpływ biznesowy

Luka XSS może umożliwić atakującym kradzież danych sesji, przejęcie kont użytkowników lub wykonanie nieautoryzowanych działań w kontekście przeglądarki ofiary. Dla operatorów stron opartych na WordPress z tą wtyczką oznacza to ryzyko naruszenia bezpieczeństwa i utraty zaufania użytkowników.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Portfolio Builder – Portfolio Gallery i jej instalację, jeśli jest dostępna. W przypadku braku łatki warto ograniczyć ekspozycję wtyczki, monitorować logi pod kątem podejrzanej aktywności oraz przeprowadzić audyt bezpieczeństwa. Priorytetowo traktuj aktualizacje i weryfikację danych wejściowych w aplikacji.

Źródła

• NVD
• Reference